PHP : deux failles critiques d'exécution de code à distance, trouvées avec l'aide de modèles d'IA

2026-10-21 · Éditeur : PHP Foundation · Domaine : Intelligence Artificielle

Le 21 octobre 2026, la PHP Foundation publie des correctifs pour deux failles critiques (CVE-2026-109618 et CVE-2026-109619). Wiz, OpenAI et Calif les ont signalées en s'appuyant sur des modèles d'IA.

### Contexte PHP est le langage serveur d'environ 70 % des sites web, selon Wiz. Les deux failles proviennent de la gestion des erreurs fatales, en particulier des manques de mémoire : un état interne corrompu peut être réutilisé par une requête suivante. La PHP Foundation rappelle que son premier audit de sécurité externe depuis des années date de 2024 (réalisé par Quarkslab, organisé par l'OSTIF, financé par la Sovereign Tech Agency). Le 11 août 2026, un chercheur de Calif a signalé une exécution de code inconditionnelle de même cause racine que le problème de manque de mémoire ; OpenAI a signalé la même cause racine, de façon indépendante, le même jour. ### Détails | Référence | Nature | Gravité | |---|---|---| | CVE-2026-109618 | Exécution de code à distance après corruption mémoire (manque de mémoire) | Critique | | CVE-2026-109619 | Exécution de code à distance via un état global périmé | Critique | - Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. - Wiz indique que presque toutes les versions de la dernière décennie sont touchées, jusqu'à PHP 5.4. La PHP Foundation fixe le score CVSS à 9,2 et précise que le score de 10,0 qui circulait était erroné. - Calendrier selon Wiz : découverte le 19 août 2026, signalement à l'équipe sécurité de PHP le 24 août, début du correctif coordonné le 21 septembre, divulgation publique le 21 octobre. - La PHP Foundation précise que les identifiants CVE ont circulé en ligne le 20 octobre vers 15 h UTC et que la publication a été avancée du 22 au 21 octobre. ### Rôle de l'IA Selon Wiz, l'équipe a employé Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol, notamment pour la découverte, l'exploitation et la validation des correctifs. Wiz affirme qu'un chercheur a accompli en une semaine un travail qui aurait demandé des mois à une équipe de premier plan. Selon TechCrunch, Calif a trouvé l'une des failles avec GPT-5.6 Sol dans le cadre de l'initiative « Patch the Planet » d'OpenAI ; l'article ne précise pas s'il s'agit de l'une des deux failles critiques. La PHP Foundation déclare avoir utilisé Claude Mythos (lors d'un scan Alpha-Omega) puis Daybreak Red d'OpenAI pour valider les rapports et exploits, et avoir publié 15 CVE depuis le 1er juillet. ### À retenir L'épisode montre des modèles d'IA utilisés à la fois pour trouver des failles anciennes et pour trier les rapports côté mainteneurs. Les affirmations de gain de temps viennent de Wiz et restent à confirmer indépendamment.

Tags : Cybersécurité, LLM, Agents, PHP, Wiz, OpenAI, Google, Anthropic