Actus IA · PHP · sécurité
L'IA a aidé à trouver les failles PHP qui ont coupé des sites
Des chercheurs équipés de GPT-5.6 Sol et de Gemini 4 Argon ont trouvé deux bugs permettant à un inconnu d'exécuter du code sur des serveurs PHP ; des agences ont demandé aux sites non corrigés de se mettre hors ligne.
PHP, le langage de programmation derrière une bonne part des sites web du monde, a publié des correctifs d'urgence le mercredi 21 octobre 2026. Dans certaines conditions, les deux failles permettent à un inconnu de prendre le contrôle d'un serveur PHP sans s'identifier, indique la PHP Foundation. Les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 les corrigent.
L'IA a fait une grande partie des découvertes. La société de sécurité Calif a trouvé la première faille en août avec GPT-5.6 Sol d'OpenAI, rapporte Fortune. Wiz, propriété de Google, y est parvenue indépendamment plus tard dans le mois, en combinant son outil maison Wiz Atlas avec GPT-5.6 Sol et Gemini 4 Argon de Google. OpenAI qualifie le duo de « l'un des problèmes de sécurité les plus lourds de conséquences de ces dernières années ». La fondation précise que la racine de l'une des failles était apparue dans un audit de 2024, mais que son correctif n'avançait pas.
La publication a eu lieu un jour plus tôt. Les numéros d'identification des failles ont fuité en ligne le 20 octobre, et la fondation affirme que Chainguard a publié des logiciels corrigés plus de six heures avant l'heure convenue.
The Verge cite W3Techs, une société d'enquêtes web, selon laquelle PHP fait tourner 69,3 % des sites dont elle peut identifier le langage serveur. Des organismes publics finlandais et néerlandais ont retiré leurs propres sites par précaution. Quand un correctif ne peut pas être appliqué tout de suite, la NSA et le National Cyber Security Centre britannique recommandent de mettre le site hors ligne. PHP 8.1 et les versions antérieures ne reçoivent aucun correctif.
Si votre boutique ou votre blog tourne sur WordPress ou un autre hébergement PHP, c'est désormais sa version de PHP qui détermine son niveau d'exposition.
Sources
- The PHP Foundation : Today’s PHP Security Release, and How We’re Strengthening PHP Security. Vérifié le
- Fortune : AI tools discovered the PHP vulnerability that could take down 70% of the internet. Vérifié le
- The Verge : PHP: The three letters that shut down sites all over the internet today. Vérifié le
Alexandre S.
Alexandre S. est stratège créatif en publicité et copywriter, avec dix ans d’expérience en marketing digital sur plusieurs canaux.
Plus d’actu IA du
- Meta crée des actions sans droit de vote pour financer son virage vers l'IA
- Claude Duet d'Anthropic travaille dans vos applis pendant votre absence
- Les pubs ChatGPT arrivent dans 89 pays, avec réécriture par l’IA activée par défaut
- Les modèles GPT-6 d’OpenAI arrivent sur Google Cloud
- Legora, spécialiste de l’IA juridique, lève 550 M$ à 8.8 Md$ de valorisation
- Nvidia met ses centres de données d’IA en conteneurs et cloisonne les agents
- Recursive affirme que l’IA a construit l’essentiel de son nouveau modèle de code pour ordinateur portable
- Flapping Airplanes lève 1 Md$ pour entraîner l’IA avec moins de données
- Blacksmith atteint 1 Md$ alors que le code écrit par IA submerge les contrôles