OpenAI a publié le 21 un communiqué indiquant que, grâce au programme « Patch the Planet », elle a aidé des chercheurs en sécurité à débusquer deux failles graves du langage PHP, et qu'elle s'est associée aux équipes de maintenance, aux sociétés de sécurité, aux fournisseurs de cloud et aux agences de cybersécurité de plusieurs pays pour mener à bien environ deux mois de correction coordonnée avant la divulgation publique.
Les deux failles, collectivement nommées « PHP2Shell », portent les identifiants CVE-2026-109618 et 109619, avec un score CVSS v4.0 de 9.2 toutes les deux. La société de sécurité Calif a découvert l'une des failles critiques grâce au modèle GPT-5.6 Sol d'OpenAI, tandis que Wiz, filiale de Google, l'a signalée indépendamment ; les mainteneurs officiels de PHP ont piloté la vérification, la correction et la publication des versions, avec le soutien en recherche, en assistance technique et en coordination inter-organisations d'OpenAI, de Wiz, de Cloudflare et d'autres. OpenAI estime qu'il s'agit d'un exemple de découverte de failles à haut risque par une IA de pointe avant les attaquants, offrant ainsi aux défenseurs une « fenêtre du défenseur », mais cette même capacité pourrait aussi être exploitée plus rapidement par les attaquants.
70 % des sites web touchés, les correctifs sont déjà publiés
PHP est un langage de script open source qui soutient un très grand nombre de sites web ; le secteur estime qu'environ 70 % des sites web en dépendent pour fonctionner. Cette faille permet à un attaquant non authentifié d'exécuter du code à distance, de modifier du contenu, de voler des données, voire de prendre le contrôle de serveurs. La PHP Foundation a publié le 21 une mise à jour d'urgence ; les versions corrigées couvrent 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Pour aider les administrateurs à vérifier leurs systèmes, OpenAI a lancé un outil de vérification des versions de PHP ; elle a également annoncé un investissement d'1 milliard de dollars pour subventionner, via « Daybreak for Frontline Defenders », des capacités de sécurité par IA aux organisations aux ressources limitées qui protègent des services essentiels. Cette défense coordonnée à l'échelle mondiale, orchestrée par l'IA, fait entrer la réponse aux vulnérabilités dans un nouveau rythme : « prendre de l'avance sur les attaquants ».