Deux vulnérabilités critiques affectant PHP, le langage de programmation open-source utilisé par environ 70% des sites web dans le monde, ont été corrigées après avoir été présentes dans le code pendant 14 ans. Ces failles, surnommées « PHP2SHELL », ont été découvertes grâce à une collaboration coordonnée par OpenAI, qui a mobilisé des chercheurs en sécurité, des mainteneurs de PHP et plusieurs entreprises spécialisées.
La société de cybersécurité Calif a identifié l’une des failles en s’appuyant sur GPT-5.6 Sol, un modèle d’intelligence artificielle d’OpenAI, dans le cadre de l’initiative « Patch the Planet ». Parallèlement, la société Wiz a découvert et signalé indépendamment les deux vulnérabilités. Les mainteneurs de PHP ont piloté le développement des correctifs, avec le soutien de partenaires comme Cloudflare, afin de préparer les protections avant la divulgation publique.
OpenAI a qualifié ces failles de l’un des problèmes de sécurité les plus lourds de conséquences de ces dernières années, en raison de la portée mondiale de PHP. Le correctif a été publié le 21 octobre 2026, un jour plus tôt que prévu, en raison d’une fuite d’informations. Cette précipitation a été nécessaire pour limiter les risques d’exploitation malveillante, alors que des attaques initiales avaient déjà été détectées.
Impact et réactions
La découverte a provoqué la mise hors ligne temporaire de nombreux sites web majeurs, y compris des portails gouvernementaux et des médias. Wikipedia a notamment été indisponible, la Wikimedia Foundation ayant mis d’autres systèmes hors ligne par précaution. D’autres services populaires tels qu’Asana, GOG, Duolingo, Capital One, Bitbucket, Moodle, Quest Diagnostics, Final Fantasy XIV, War Thunder et Internet Archive ont également rencontré des difficultés au moment de la divulgation, selon Downdetector. La plupart n’ont pas confirmé de lien direct avec la faille, mais la coïncidence est notable.
Les autorités américaines, notamment le FBI et la NSA, ont recommandé aux responsables de sites web de retirer leurs plateformes ou de mettre à jour leurs logiciels pour se protéger. La division cybersécurité de la NSA a insisté sur la nécessité de mettre hors ligne ou de corriger les systèmes utilisant PHP, soulignant la gravité des vulnérabilités.
Lire aussi
Une agence de cybersécurité alerte sur des pannes possibles liées à un correctif critique de PHP
La Première ministre japonaise, Sanae Takaichi, a publié un appel urgent sur le réseau social X, demandant à tous les propriétaires de sites d’agir immédiatement pour installer le correctif, disponible à 23 heures heure japonaise le 21 octobre (10 heures côté est des États-Unis). Cette mobilisation rapide illustre la gravité perçue de la menace.
Découverte et rôle de l’IA
Greg Brockman, président d’OpenAI, a expliqué que la faille existait dans PHP depuis 14 ans. Une version plus limitée avait été repérée en 2024, mais sans être traitée comme sérieuse. La version complète a été découverte en septembre 2026 grâce à l’utilisation de modèles d’IA avancés. Cette collaboration entre humains et intelligence artificielle a permis d’identifier la faille avant que des attaquants ne la découvrent, illustrant ce que OpenAI appelle la « Defender’s Window » : une période où les défenseurs ont l’avantage de détecter et corriger les vulnérabilités avant leur exploitation.
Cette découverte marque une nouvelle étape dans la sécurité informatique, où l’IA joue un rôle central dans la détection de bugs à grande échelle. OpenAI prévoit que ce type de découverte se multipliera, citant en exemple une autre faille d’exécution de code à distance récemment révélée dans Node.js, un autre composant critique du web.
Conséquences et perspectives
La correction de ces failles a nécessité des modifications importantes du moteur PHP, ce qui explique la durée de deux mois consacrée à la préparation des correctifs et des protections. OpenAI a travaillé avec plusieurs agences gouvernementales américaines, dont la Super Intelligence Force de la Maison-Blanche, le National Cyber Director et la Cybersecurity and Infrastructure Security Agency, pour coordonner la réponse.
OpenAI a également publié un outil permettant aux exploitants de sites de vérifier s’ils utilisent une version vulnérable de PHP. Par ailleurs, la société a engagé un milliard de dollars d’accès subventionné à ses outils de sécurité pour les organisations protégeant des services essentiels.
Lire aussi
Installer Android 15 sur le Player TV Freebox Pop : une mise à jour non officielle à risques
Cette affaire souligne toutefois une faille dans le processus actuel de gestion des vulnérabilités, jugé « lent et manuel » par Greg Brockman. OpenAI appelle la communauté de la sécurité à imaginer un nouveau processus de coordination, incluant notamment des scans permanents d’internet par des entités autorisées, avec alertes et corrections automatiques dans les cas extrêmes.
Enfin, OpenAI reconnaît que les mêmes capacités d’IA qui ont permis de découvrir ces vulnérabilités pourraient aussi être utilisées par des attaquants pour développer des exploits plus rapidement, ce qui pose un défi majeur pour la cybersécurité à l’ère de l’intelligence artificielle.
Sources
Image d’illustration générée par IA (représentation non contractuelle).
