Contexte et portée
Deux vulnérabilités classées CVE-2026-109618 et CVE-2026-109619 ont été découvertes dans le cœur du langage PHP, qui alimente 69,3 % des sites web connus selon W3Techs et plus de 3,8 millions d’instances détectées par VirusTotal. L’impact s’étend de plateformes communautaires comme 4chan, DeviantArt ou Wikipedia à des services gouvernementaux néerlandais et finlandais, ainsi qu’aux jeux en ligne Pokémon Home et Pokémon Champions. Le compte NSA Cybersecurity sur X et le National Cyber Security Center britannique ont recommandé la mise hors ligne immédiate des serveurs non patchés.
Mécanisme des vulnérabilités
La première faille, qualifiée de « RCE via OOM corruption », exploite une mauvaise gestion de la mémoire lorsqu’une requête est interrompue pendant une phase d’allocation. Le nettoyage subséquent traite des données partiellement initialisées comme valides, ouvrant une porte d’exécution de code arbitraire. La seconde, « RCE via stale global state », repose sur la persistance d’un état interne après libération de la mémoire ; un worker suivant peut réutiliser cet état avant qu’une réinitialisation complète ne s’opère. Ces deux vecteurs étaient théoriquement connus depuis près de vingt ans, mais leur chaîne d’exploitation nécessitait une orchestration « au bord du possible » pour un chercheur humain, selon la société de sécurité Wiz.
Ce qui a changé, c’est l’implication d’intelligences artificielles. Un groupe de recherche nommé Calif, soutenu par OpenAI, a employé le modèle GPT‑5.6 Sol pour identifier les conditions précises de déclenchement. De façon indépendante, Wiz a utilisé ses propres modèles d’IA pour automatiser la génération de PoC (Proof‑of‑Concept). L’IA a ainsi réduit le nombre d’étapes manuelles, transformant une vulnérabilité obscure en un exploit exploitable en quelques heures.
Implications et réponses
Les deux CVE permettent une exécution de code non authentifiée, donnant à un attaquant le contrôle total du serveur : vol de mots de passe, clés API, certificats, et accès aux bases de données. En outre, le serveur compromis peut servir de relais pour des attaques en chaîne contre d’autres hôtes PHP. Les fournisseurs d’hébergement cités (Hostinger, GoDaddy, Bluehost) recommandent de mettre à jour immédiatement vers la version corrigée, tout en soulignant que les versions antérieures à PHP 8.1 ne recevront plus de correctif officiel. Les sites statiques ou les plateformes sans support PHP (Squarespace, Wix) restent hors de portée.
Pour les administrateurs, la priorité est de vérifier la version de PHP en production, d’appliquer les correctifs publiés par le PHP Foundation et de désactiver temporairement les services exposés jusqu’à confirmation du patch. L’incident illustre la nouvelle dynamique où l’IA accélère la découverte et l’exploitation de failles longtemps dormantes, imposant une réévaluation des processus de gestion des vulnérabilités.
