1 · CYBERSÉCURITÉ
PHP : deux failles critiques, trouvées avec l'aide de l'IA
Samedi 24 octobre 2026 · 6 sources · 13 min de lecture
9,2
note de gravité sur 10 (échelle CVSS v4)
2
failles, CVE-2026- 109618 et 109619
70 %
des sites web utilisent PHP, selon Wiz
CE QUI S'EST PASSÉ
Mercredi 21 octobre, l'équipe du langage PHP, qui fait tourner une grande partie des sites web, a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Elles corrigent deux vulnérabilités qu'elle qualifie de critiques : un attaquant sans identifiant peut y exécuter du code sur le serveur. Les deux failles (CVE-2026-109618 et CVE-2026-109619) sont notées 9,2 sur 10 selon The Next Web. L'équipe PHP écrit qu'aucune mesure d'atténuation ne suffit à elle seule et que mettre à jour est le seul choix sûr. Deux équipes disent avoir trouvé les failles avec des modèles d'IA : la société de sécurité Calif, qui date ses premiers travaux du 1er août avec le modèle GPT-5.6 Sol d'OpenAI, et Wiz, qui date sa découverte du 19 août et cite l'outil Wiz Atlas, Gemini 4 Argon de Google et GPT-5.6 Sol. Les deux équipes affirment avoir travaillé de façon indépendante. Selon The Daily Record, des services publics ont été mis hors ligne par précaution aux Pays-Bas, au Danemark, en Finlande et en France, où le ministère de l'Intérieur a placé ses sites en maintenance. Le CERT-FR, l'équipe française de veille sur les alertes de sécurité, a publié une alerte le 21 octobre, mise à jour le 22. Selon des données de Censys citées par le même journal, environ 1,5 million de 2,6 millions d'hôtes recensés exécutaient encore une version non corrigée (information d'une seule source, à confirmer).
Comment une simple requête peut prendre le contrôle d'un serveur
PHP est un langage de programmation exécuté côté serveur : c'est lui qui assemble une page avant de l'envoyer au visiteur. Il tourne sur d'innombrables sites, dont des outils très répandus comme WordPress, Drupal ou Joomla. Les failles touchent la gestion de la mémoire : dans un cas, un manque de mémoire interrompt PHP alors que des données de la requête sont à moitié initialisées ; dans l'autre, un état interne survit alors que la mémoire qui le portait a été libérée. L'équipe PHP juge le risque le plus élevé avec mod_php (PHP intégré au serveur Apache), où une requête non authentifiée peut déclencher l'attaque avant que le code du site ne s'exécute. Démontré ou annoncé ? Les correctifs et les numéros CVE sont publics et vérifiables. Le rôle de l'IA repose sur le récit des deux sociétés, sans évaluation indépendante. Calif précise qu'aucun modèle n'est capable de trouver tous les bogues avec de simples consignes, et que la connaissance de l'historique du logiciel reste essentielle. Wiz estime qu'un seul chercheur a fait en une semaine ce qui aurait pris des mois à une équipe de haut niveau.
LES POINTS DE VUE
Le CERT-FR recommande d'« isoler les équipements affectés » et de migrer vers une version maintenue de PHP. Les contournements temporaires ne sont pas qualifiés par ses soins.
alerte du 21 octobre, mise à jour le 22 · CERT-FR
Calif écrit : « No model is simply capable of unearthing 'all bugs' with simple prompts. » Elle dit avoir utilisé des modèles accessibles au public, sans outil spécial, pour la première découverte.
société de sécurité · Calif
Wiz affirme que l'IA a permis de construire des attaques de démonstration sur plusieurs applications en quelques heures. L'entreprise écrit : « a single researcher completed in a week what previously would have taken a world-class team months of work. »
société de sécurité, groupe Google · Wiz
CE QUE ÇA CHANGE
35. 1 et antérieures, le projet ne publie plus de mises à jour ; des correctifs existent à appliquer soi-même et chez certains hébergeurs.
ET APRÈS ?
- 1
PHP 8.2 arrive en fin de vie le 31 décembre 2026 et ne recevra plus de correctifs de sécurité après cette date
- 2
L'alerte du CERT-FR a été mise à jour le 22 octobre
