ChatGPT Sol d’OpenAI a découvert des failles critiques de PHP touchant 70 % des sites web

Le sujet confirmé: ChatGPT Sol et PHP2Shell

L’affaire ChatGPT Sol d’OpenAI n’est plus une discussion abstraite sur la chasse aux bugs assistée par IA. Le 21 octobre 2026, OpenAI a indiqué que Calif avait identifié une faille critique de PHP à l’aide de GPT-5.6 Sol dans le cadre de son initiative Patch the Planet, tandis que Wiz avait découvert et signalé indépendamment les deux vulnérabilités; les mainteneurs de PHP ont ensuite piloté les correctifs et la publication avec l’appui d’OpenAI, Wiz, Cloudflare et d’autres acteurs [1]. Les deux failles sont maintenant référencées sous les identifiants CVE-2026-109618 et CVE-2026-109619, et leur importance vient du rôle central de PHP dans les sites de publication, de commerce en ligne et d’applications d’entreprise [3].

L’expression « 70 % des sites web touchés » doit être comprise avec précision. Elle ne signifie pas que chaque site web est déjà exploitable. Elle signifie que PHP est utilisé par environ 70 % des sites dont le langage côté serveur est identifiable, et que les vulnérabilités se situent dans le moteur PHP lui-même, sous les couches applicatives comme WordPress, Drupal, Joomla, Magento ou d’autres plateformes [4]. C’est ce qui a transformé une réussite de recherche assistée par IA en opération mondiale de correction.

Ce qui a été découvert

Le projet PHP a publié des correctifs pour PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, en avertissant que les deux failles peuvent permettre une exécution de code à distance sans authentification et en demandant à tous les utilisateurs de PHP de mettre à jour immédiatement [3]. L’avis de PHP décrit la première faille, CVE-2026-109618, comme une exécution de code à distance par corruption liée à un dépassement de mémoire: une erreur d’allocation peut interrompre PHP alors que des données de requête ne sont que partiellement initialisées, puis le nettoyage de la requête peut traiter ces données invalides comme si elles étaient valides [3]. La seconde faille, CVE-2026-109619, concerne un état global obsolète: un état interne appartenant à une requête peut survivre après la libération de la mémoire qui le soutenait, puis être réutilisé par une requête ultérieure traitée par le même worker [3].

Cette distinction technique compte beaucoup. Un audit classique de sécurité web examine souvent le code applicatif, les extensions, les thèmes, les contrôles d’entrée ou les droits d’accès. PHP2Shell se situe plus bas. Cloudflare a insisté sur le fait que mettre à jour le code du site ou les plugins ne suffit pas, car le composant affecté est le runtime PHP [4]. HackerOne a formulé le même constat opérationnel: les failles touchent le moteur PHP, et non un CMS, une extension ou une application particulière [8].

Comment Sol a accéléré la chronologie

L’élément le plus important n’est pas seulement que l’IA ait aidé à trouver une faille. C’est qu’elle a aidé à revisiter une classe de bugs déjà connue, mais qui n’avait pas encore été transformée en preuve d’exploitation suffisamment convaincante pour imposer un correctif. Le récit de Calif remonte d’un signalement PHP de 2020 lié au comportement en manque de mémoire, à un audit de 2024 qui avait retrouvé un problème apparenté sans prouver l’exploitation, puis à l’effort Patch the Planet de 2026, dans lequel Calif a relancé l’analyse de PHP [2]. Calif indique qu’après avoir commencé l’audit autour du 30 juillet, ses chercheurs ont fait émerger un premier cas critique dès le 1er août, signalé la première faille à PHP le 11 août, partagé une preuve de concept d’exécution de code à distance le 14 août, puis obtenu la confirmation de PHP le 15 août que cette preuve de concept fonctionnait [2].

C’est cette transformation en deux semaines qui se trouve au cœur de l’histoire: une faiblesse ancienne de gestion mémoire est devenue assez vite une démonstration RCE pour modifier le calendrier de divulgation. OpenAI présente le résultat comme une « fenêtre pour les défenseurs », en expliquant que l’IA de pointe a trouvé les vulnérabilités avant les attaquants, ce qui a permis aux mainteneurs et aux fournisseurs de préparer correctifs et protections avant la divulgation publique [1]. Mais le même billet d’OpenAI rappelle que cette capacité est ambivalente: l’IA peut révéler des failles à l’échelle d’Internet, mais elle peut aussi aider des attaquants à développer plus vite des outils offensifs et des exploits [1].

Pourquoi PHP2Shell est si grave

L’analyse technique de Wiz explique que les vulnérabilités publiées sont des problèmes de sûreté mémoire découlant de la façon dont PHP gère les erreurs fatales pendant le traitement des requêtes, en particulier les erreurs de manque de mémoire [5]. Ces échecs peuvent laisser un état interne corrompu après la fin inattendue d’une requête; une requête ultérieure ou un autre worker peut ensuite réutiliser cet état obsolète, provoquant une fuite mémoire ou une corruption mémoire [5]. Wiz affirme avoir combiné ces failles dans un script d’exploitation unique appelé php2shell et avoir démontré une exécution de code à distance sans authentification contre des déploiements WordPress, Drupal et Joomla, tout en soulignant que l’exploitation ne dépend pas d’une faille dans ces applications, puisque la faiblesse se trouve dans PHP [5].

Calif indique aussi avoir confirmé une exécution de code à distance pré-authentification sur de nombreuses applications PHP et, dans certains cas, sur des scripts PHP arbitraires [2]. La leçon est dure pour les défenseurs: même une application PHP très simple peut être exposée si le runtime sous-jacent est vulnérable, et les contrôles de sécurité écrits dans l’application peuvent ne jamais avoir l’occasion de s’exécuter. Datadog aboutit à la même conclusion dans sa reproduction de CVE-2026-109618: la requête malveillante n’atteint pas le code de l’application cible avant que PHP n’exécute la commande de l’attaquant pendant le nettoyage d’une requête échouée [7].

L’impact ne se limite pas à l’exécution de commandes. Wiz indique également que des attaquants peuvent lire des données sensibles dans la mémoire du processus PHP, y compris des mots de passe, des jetons et des clés API, même sans obtenir d’abord une exécution complète de code à distance [5]. Cela complique fortement la réponse à incident, car l’absence de webshell visible ne prouve pas que des secrets n’ont pas été exposés.

La réponse d’urgence

L’équipe PHP a réagi rapidement une fois le problème rendu public. Son avis du 21 octobre précise que toutes les installations PHP servant des requêtes web sont concernées, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed; le risque est jugé le plus élevé pour mod_php, car un exploit démontré peut être déclenché par une requête non authentifiée avant l’exécution du code applicatif [3]. Pour les branches prises en charge, PHP a nommé les versions corrigées et demandé aux utilisateurs de distributions Linux ou de fournisseurs de support long terme de vérifier leurs paquets, car les correctifs peuvent être rétroportés vers des branches plus anciennes [3].

Cloudflare dit avoir participé à l’effort coordonné de mitigation et avoir déployé des protections WAF avant la divulgation publique; l’entreprise affirme aussi avoir observé du trafic d’attaque visant ses clients et des attaquants modifiant leurs charges utiles pour tenter de contourner les protections [4]. Cloudflare précise cependant que ces règles sont une défense en profondeur, pas un substitut aux correctifs, et recommande de les garder actives pendant la mise à jour de PHP [4]. De son côté, Corelight a publié des détections open source pour Zeek et Suricata afin d’aider les équipes à enquêter sur des comportements HTTP suspects et à prioriser les vérifications de correctifs [9].

Les agences américaines ont aussi élevé le niveau d’alerte. La NSA a averti que PHP2Shell pourrait permettre à des attaquants de prendre le contrôle de serveurs web affectés sans accès préalable ni authentification, et a recommandé d’inventorier les services dépendant de PHP, d’appliquer les correctifs fournisseurs et de mettre hors ligne les systèmes qui ne peuvent pas être mis à jour immédiatement [6]. Nextgov a rapporté que la NSA, le FBI et la CISA ont appelé les organisations à corriger les failles, tout en notant que Unit 42 de Palo Alto Networks avait identifié plus de 22,6 millions d’instances exposées à Internet et potentiellement vulnérables [8].

Ce que les administrateurs doivent faire

La consigne la plus sûre est aussi la plus directe: corriger PHP. Les versions amont corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 [3]. Les administrateurs ne doivent pas supposer qu’une mise à jour de WordPress, Drupal, Joomla, Laravel, Magento ou d’une extension règle le problème. Il faut mettre à jour le runtime, reconstruire les images de conteneurs, redémarrer ou remplacer les workers, et demander aux hébergeurs managés de confirmer leur état de correction.

Les équipes doivent inventorier tous les runtimes PHP servant des requêtes HTTP: conteneurs, services annexes, anciens hôtes virtuels, panneaux d’administration, appliances de fournisseurs et environnements de test. Datadog recommande de ne pas se fier uniquement à la version PHP disponible en ligne de commande, car l’interpréteur qui sert l’application web peut être différent de l’installation CLI [7]. Pour les branches anciennes, il faut consulter les avis des systèmes d’exploitation et des fournisseurs LTS, car PHP 8.1 et les versions antérieures ne reçoivent plus normalement de mises à jour du projet PHP, même si des rétroports sources minimaux ont été fournis pour PHP 7.4, 8.0 et 8.1 [3].

Des mitigations temporaires peuvent réduire l’exposition de certains chemins d’attaque, mais le projet PHP et les fournisseurs de sécurité répètent qu’elles ne constituent pas des corrections complètes [3][7]. Parmi les signaux d’enquête figurent des requêtes multipart inhabituelles suivies d’erreurs de limite mémoire ou de réponses HTTP 500 répétées, des cookies PHPSESSID malformés ou anormalement volumineux, des crashs inexpliqués de workers PHP, et des processus web lançant des shells ou des processus enfants inattendus [5][7]. L’absence de ces signaux ne prouve pas l’absence d’exploitation, car certains chemins opèrent sous la couche applicative et laissent peu de traces dans les journaux de l’application [5].

La leçon plus large pour la sécurité de l’IA

PHP2Shell marque un tournant parce qu’il réunit trois réalités dans un seul incident. D’abord, une partie essentielle de l’infrastructure Internet repose encore sur des runtimes anciens où des erreurs mémoire peuvent se cacher pendant des années. Ensuite, les mainteneurs open source ont besoin d’aide coordonnée lorsqu’une faille touche un composant utilisé par des millions de sites. Enfin, l’IA de pointe change l’économie du développement d’exploits.

OpenAI veut présenter l’affaire comme une réussite défensive: des chercheurs assistés par IA ont identifié la classe de failles, une coalition a coordonné la divulgation, et les mainteneurs ont livré des correctifs avant que l’exploitation massive par des attaquants soit confirmée [1]. Cette lecture est valable, mais elle est incomplète. Les mêmes outils qui ont aidé Calif, OpenAI et Wiz à raisonner sur les internes de PHP pourraient aussi aider des acteurs moins responsables à raccourcir leurs propres délais. La réponse durable n’est pas la panique: c’est un meilleur inventaire, des chaînes de correction plus rapides, une détection en couches et un soutien plus fort aux mainteneurs des logiciels sur lesquels le web fonctionne en silence.

Sources des dernières 72 heures

1. [1]Patch the Planet: global response coordination as agents uncover critical vulnerabilities21 oct. 2026, 02:00
2. [2]php2shell by Calif Research21 oct. 2026, 02:00
3. [3]Cloudflare deploys protections against php2shell vulnerability21 oct. 2026, 02:00
4. [4]PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet21 oct. 2026, 02:00
5. [5]PHP2Shell - Critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619): detection, analysis, and remediation21 oct. 2026, 02:00
6. [6]US agencies urge fixes for programming language flaws putting millions of web systems at risk21 oct. 2026, 18:04
7. [7]php2shell: Zeek and Suricata Detections for PHP RCE21 oct. 2026, 15:48
8. [8]Security advisory: Critical remote code execution vulnerabilities, update now21 oct. 2026, 02:00
9. [9]NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities21 oct. 2026, 02:00

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.