Des failles de PHP trouvées grâce à l’IA poussent des gouvernements et des sites hors ligne pendant le déploiement de correctifs d’urgence
Le projet PHP a publié des correctifs d’urgence pour deux failles critiques du langage de programmation qui fait tourner une grande partie du web, et des agences de cybersécurité ont demandé aux organisations incapables de les appliquer rapidement d’envisager de mettre leurs sites hors ligne, a rapporté la BBC. Les failles, surnommées PHP2Shell, ont été trouvées avec l’aide d’outils d’IA, selon les chercheurs.
Ce que permettent les failles : Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, peuvent permettre à un attaquant non connecté d’exécuter du code sur un serveur qui traite des requêtes web avec PHP, a rapporté BleepingComputer. Toutes deux viennent du fait que PHP peut laisser sa mémoire dans un état corrompu lorsqu’une requête se termine anormalement, selon BleepingComputer. Wiz a indiqué que ces problèmes peuvent aussi exposer la mémoire du processus, qui peut contenir des mots de passe, des jetons et des clés.
Le rôle de l’IA : Des chercheurs de Calif et de Wiz ont trouvé les failles, et OpenAI a indiqué qu’un de ses propres chercheurs avait découvert le problème à peu près au même moment, a rapporté la BBC. Calif et la PHP Foundation participaient à un programme d’OpenAI appelé Patch the Planet, qui leur donnait accès à des outils d’IA avancés, selon la BBC. « Les modèles de pointe ont été essentiels pour rendre ce processus réalisable », a écrit Wiz. Wiz estime qu’« environ 70% » d’internet est concerné ; la BBC a dit ne pas pouvoir vérifier ce chiffre.
Des sites éteints : La Finlande a temporairement fermé les services web publics du gouvernement, et l’agence néerlandaise de cybersécurité a mis son propre site hors ligne, a rapporté la BBC. La Wikimedia Foundation a indiqué avoir arrêté certains systèmes par précaution, a rapporté la BBC. Le National Cyber Security Centre britannique et la National Security Agency américaine ont conseillé de mettre hors ligne les systèmes qui ne pouvaient pas être mis à jour.
Attaques et correctifs : Le directeur technique de Cloudflare, Dane Knecht, a indiqué que l’entreprise observait les premières attaques, selon la BBC et BleepingComputer. Des détails ont fuité sur les réseaux sociaux mardi, ce qui a forcé une annonce anticipée, a rapporté la BBC. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, a rapporté BleepingComputer, et PHP a indiqué que les versions 8.1 et antérieures ne reçoivent plus de mises à jour officielles.