La faille php2shell et la place de l'IA dans la sécurité open source

Le 21 octobre 2026, le projet PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger deux vulnérabilités critiques d'exécution de code à distance, baptisées « php2shell ». Référencées CVE-2026-109618 et CVE-2026-109619 et notées 9,2 sur l'échelle CVSS v4.0 par l'équipe de sécurité, ces failles portent sur une mauvaise gestion de l'épuisement de la mémoire et sur une situation de use-after-free lors du traitement des requêtes web. D'après les indications de la CISA, le problème concerne les configurations qui servent du trafic web, tandis que la société de sécurité Tenable fait remonter l'origine du code vulnérable jusqu'à PHP 5.4.0. La CISA recommande de mettre à jour sans tarder, en commençant par les systèmes exposés sur internet, et d'isoler ceux qui ne peuvent pas être mis à jour ou qui tournent sous PHP 8.1 ou antérieur, pour lesquels il n'existe que des backports au niveau du code source pour les versions 7.4, 8.0 et 8.1.

Amazon Threat Intelligence a indiqué avoir repéré une tentative d'exploitation dans ses honeypots le 17 octobre, quatre jours avant la divulgation officielle, en précisant qu'on ignore comment l'attaquant avait obtenu l'information. Le 20 octobre vers 15 h 00 UTC, les CVE ont commencé à circuler en ligne avec une date et un score erronés ; vers 20 h 00 UTC, Calif a publié par erreur une vidéo de preuve de concept, retirée ensuite. La publication des correctifs a été avancée du 22 au 21 octobre à 14 h 00 UTC ; ce matin-là, à 7 h 41 UTC, Chainguard a publié des images mises à jour avant la divulgation formelle. Selon AWS, les tentatives d'exploitation sont désormais répandues, sans qu'on sache si elles auraient réussi sur des systèmes réels ; au moment de la publication de son alerte, la CISA n'avait observé aucune exploitation réussie.

Selon la PHP Foundation, la cause racine des vulnérabilités a été signalée par Calif le 11 août, par Wiz le 24 août et, de manière indépendante, par OpenAI le 18 septembre. D'après Fortune, Calif a utilisé GPT-5.6 Sol, tandis que Wiz s'est servi de Gemini 4 Argon, de GPT-5.6 Sol et de son propre outil Wiz Atlas. Dans un billet de blog cité par Fortune, Wiz évoque 70 % d'internet concernés : une estimation qui n'a pas été vérifiée de façon indépendante. Palo Alto Networks, toujours selon Fortune, a recensé 22,6 millions d'instances potentiellement vulnérables.

La PHP Foundation explique elle-même avoir analysé PHP début 2026 avec le modèle Claude Mythos d'Anthropic, en collaboration avec Alpha-Omega, et utiliser Daybreak Red d'OpenAI pour valider rapports et exploits. Depuis le 1er juillet 2026, l'équipe a publié 15 CVE et traité plus de 100 signalements qui se sont révélés invalides, en double ou non reproductibles. Comme le relève la fondation, l'essor de la recherche assistée par l'IA fait que l'équipe de sécurité reçoit bien plus de signalements qu'auparavant, alors que chaque décision et chaque correctif reposent toujours sur le travail direct de personnes.

L'épisode laisse penser que les modèles de langage rendent plus fréquente la découverte de défauts anciens dans le code, tout en alourdissant les vérifications qui incombent aux mainteneurs humains, à qui revient la responsabilité des correctifs.

— Olya