IT之家 Le 22 octobre, la société OpenAI a publié hier (21 octobre) un article de blog annonçant que, dans le cadre de son programme « Patch the Planet » (Réparer la planète), elle avait aidé des chercheurs en sécurité à découvrir deux vulnérabilités graves dans le langage de programmation PHP,et avait, en collaboration avec l'équipe de maintenance de PHP, des sociétés de sécurité, des fournisseurs de cloud et des agences de cybersécurité de plusieurs pays, mené à bien environ deux mois de correction coordonnée avant la divulgation publique des vulnérabilités.
La société de sécurité Calif, grâce au modèle GPT-5.6 Sol d'OpenAI, a découvert l'une des failles critiques ; Wiz, filiale de Google, a découvert et signalé indépendamment les vulnérabilités concernées. Les mainteneurs officiels de PHP ont dirigé la validation des vulnérabilités, le développement des correctifs et la publication des versions, tandis qu'OpenAI, Wiz, Cloudflare et d'autres ont apporté recherche, soutien technique et coordination inter-institutions afin de préparer les protections avant la divulgation publique.
OpenAI affirme qu'il s'agit d'un cas où une IA de pointe a découvert des vulnérabilités critiques avant les attaquants, obtenant pour les mainteneurs et les défenseurs ce qu'on appelle une « fenêtre du défenseur ». Toutefois, la société reconnaît également que les mêmes capacités d'IA pourraient être utilisées par des attaquants pour développer plus rapidement des outils d'attaque et des exploits : risques de sécurité et valeur défensive coexistent.
IT之家 avait précédemment rapporté que les deux vulnérabilités révélées cette fois sont collectivement baptisées « PHP2Shell »,référencées respectivement CVE-2026-109618 et CVE-2026-109619, avec un score CVSS v4.0 de 9.2 dans les deux cas.
PHP est un langage de script open source qui soutient un grand nombre de sites web et d'applications web dans le monde ; l'industrie estime qu'environ 70 % des sites en dépendent pour fonctionner.Ces vulnérabilités pouvaient permettre à un attaquant non authentifié d'exécuter du code à distance, et ainsi de modifier le contenu de sites web, de lire des données sensibles ou de compromettre des serveurs.La PHP Foundation a publié le 21 octobre une mise à jour de sécurité d'urgence ; les versions corrigées comprennent PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Pour aider les exploitants à évaluer les risques, OpenAI a publié un outil de vérification de version PHP, proposé comme une compétence Codex permettant aux administrateurs d'identifier les versions PHP potentiellement affectées et, avec les directives officielles de mise à niveau, de déterminer la solution de correction appropriée.
OpenAI recommande aux organisations utilisant PHP d'appliquer les correctifs dès que possible, de vérifier l'exposition de leurs systèmes et de suivre les directives de priorisation des risques de la CISA pour procéder à une correction d'urgence, une atténuation temporaire ou une mise à niveau planifiée.
OpenAI a également annoncé qu'elle investirait 1 milliard de dollars US (note d'IT之家 : environ 6,691 milliards de yuans au taux de change actuel), via « Daybreak for Frontline Defenders », pour offrir un accès subventionné aux organisations disposant de ressources de sécurité limitées et responsables de services critiques, les aidant à utiliser l'IA pour la découverte de vulnérabilités, la surveillance des systèmes et la réponse aux incidents.
La société a en outre proposé un cadre de réponse aux vulnérabilités adapté à l'ère de l'IA, couvrant cinq phases : validation et correction en amont, notification préalable des organisations affectées, collaboration gouvernementale, préparation des mises à jour inter-produits et soutien au déploiement après la publication des correctifs.
Pour en savoir plus :