L'IA d'OpenAI découvre une faille PHP vieille d'une décennie, puis coordonne la correction
Une paire de graves failles de sécurité dans PHP, le langage de script qui alimente une part énorme des sites web mondiaux, a provoqué cette semaine une rare course mondiale. Les bugs ont été découverts avec l’aide des outils d’IA d’OpenAI, puis corrigés dans une précipitation coordonnée impliquant des mainteneurs de logiciels, des entreprises de sécurité, des fournisseurs de cloud et des agences nationales de cybersécurité, selon OpenAI et des chercheurs en sécurité.
Les deux vulnérabilités, regroupées sous le surnom PHP2Shell et suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619, ont toutes deux obtenu une note de 9,2 sur 10 sur l’échelle de gravité CVSS v4.0. Dans le pire des cas, un attaquant pourrait exécuter du code arbitraire sur un serveur vulnérable, ce qui est à peu près ce qui se fait de plus grave en sécurité web. Les failles auraient été présentes dans le code pendant plus d’une décennie.
La découverte provient du programme Patch the Planet d’OpenAI, une initiative qui associe des modèles d’IA à des chercheurs en sécurité pour traquer les faiblesses dans les logiciels open source largement utilisés. La société de sécurité Calif et l’entreprise de sécurité cloud Wiz auraient indépendamment mis au jour les problèmes de PHP avec l’aide de l’IA en août. S’ensuivirent environ deux mois de travail discret pour préparer les correctifs avant que quiconque puisse transformer les bugs en armes.
Ce plan a été perturbé lorsque des détails ont fuité le 20 octobre, apparemment avant la date de divulgation coordonnée. La fuite a plongé les équipes d’exploitation de PHP dans une longue nuit, les administrateurs se précipitant pour évaluer l’exposition et appliquer des mesures d’atténuation. La PHP Foundation a publié les correctifs officiels le 21 octobre, et OpenAI a publié son récit de l’ensemble de l’effort le même jour.
L’histoire compte bien au-delà des forums de développeurs. PHP sous-tend des systèmes de gestion de contenu, des forums et des boutiques en ligne à travers Internet, et les estimations circulant dans les médias technologiques chinois situent sa portée à environ soixante-dix pour cent des sites web. Une faille exploitable à distance dans cette couche constitue un risque systémique, et non un problème de niche, ce qui explique pourquoi les fournisseurs de cloud et les organismes gouvernementaux de sécurité ont rejoint la réponse.
Pour OpenAI, Patch the Planet est aussi une déclaration sur la façon dont l’IA pourrait changer la recherche de vulnérabilités. Trouver des bugs à grande échelle a toujours été un travail lent et manuel. Les modèles d’IA peuvent analyser rapidement d’énormes bases de code, mais la partie la plus difficile est la machinerie humaine qui suit : vérifier les résultats, écrire des correctifs, avertir les fournisseurs et garder le secret jusqu’à ce que les utilisateurs puissent mettre à jour. L’épisode PHP a mis cette machinerie à l’épreuve sous la pression d’une fuite.
L’épisode met également en lumière une tension croissante. La découverte assistée par l’IA signifie que davantage de failles feront surface plus rapidement, et tous les projets n’ont pas les mainteneurs ou les ressources pour réagir à toute vitesse. Les normes de divulgation coordonnée, autrefois un coin tranquille de l’industrie, deviennent un exercice de logistique mondiale impliquant des entreprises et des agences qui se parlent rarement.
Pour les utilisateurs et les entreprises ordinaires, le conseil pratique reste inchangé : mettez à jour rapidement les installations PHP et les logiciels dépendants, et surveillez les avis des fournisseurs. Pour l’industrie, la leçon est peut-être que l’IA fait désormais partie de la chaîne d’approvisionnement de la sécurité, et que la course ne consiste plus seulement à trouver des bugs, mais à les corriger avant qu’Internet ne l’apprenne.