Contexte et gravité

Le National Security Agency (NSA) a publié une alerte le 21 octobre 2026 concernant deux vulnérabilités critiques découvertes dans le langage serveur PHP. Selon l’avertissement, ces failles permettent à un attaquant d’accéder au système de fichiers du serveur ou à la base de données utilisée par l’application web. PHP alimente environ 70 % des sites internet, soit plus de 33 millions de domaines, ce qui rend l’impact potentiel très large. L’agence recommande de retirer immédiatement du réseau tout site qui ne peut pas appliquer les correctifs, afin d’éviter une compromission avant que les hackers ne développent des exploits.

Mécanisme des vulnérabilités

Les deux failles sont présentes depuis la version 5 de PHP, publiée en 2004, et subsistent dans toutes les versions ultérieures jusqu’à la branche 8.5.12, la version actuelle au moment de la publication. Elles reposent sur des erreurs de gestion de la mémoire et de validation d’entrées qui permettent l’injection de code arbitraire. Concrètement, un payload spécialement façonné peut déclencher une écriture hors limites, donnant ainsi accès en lecture ou écriture aux répertoires du serveur ou aux tables de la base de données. L’absence de correctifs depuis plus de deux décennies montre que les tests de sécurité traditionnels n’ont pas détecté ces chemins d’exploitation.

Rôle de l’IA dans la découverte

La découverte a été rendue possible grâce à deux initiatives d’intelligence artificielle. OpenAI, via son programme « Patch the Planet », a fait appel à la société Calif qui a exploité le modèle GPT‑5.6 Sol pour analyser le code source de PHP. De façon parallèle, l’équipe de sécurité de Wiz a utilisé son agent Wiz Atlas, alimenté par Gemini 4 Argon et le même modèle GPT‑5.6 Sol, pour automatiser la recherche de vecteurs d’attaque. Les modèles LLM ont pu générer des scénarios d’exploitation adaptés à chaque version, configuration et disposition mémoire, ce qui était auparavant prohibitif pour les chercheurs humains. Cette capacité à « adapter un exploit » a été explicitement citée comme la raison pour laquelle les vulnérabilités n’avaient pas été exploitées en pratique avant l’intervention de l’IA.

Implications et mesures de mitigation

Les correctifs, publiés par la PHP Foundation, corrigent les erreurs de validation et renforcent les contrôles de limites mémoire. La mise à jour vers la version 8.5.12 est la seule voie de mitigation officielle ; les versions antérieures à PHP 8.1 ne sont plus supportées et restent exposées. Les fournisseurs d’infrastructure – Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft et Vercel – ont confirmé leur participation aux tests de correctifs, ce qui facilite le déploiement chez les hébergeurs. Les administrateurs doivent vérifier la version de PHP via php -v, appliquer les paquets de mise à jour fournis par leurs distributions, et, si possible, activer les mécanismes de sandboxing (par exemple, open_basedir) pour limiter l’impact d’une éventuelle compromission résiduelle. Enfin, la communauté doit envisager des audits continus assistés par IA afin d’identifier rapidement d’autres failles latentes dans les bases de code largement déployées.