Deux vulnérabilités critiques de PHP ont conduit à des maintenances urgentes, à la mise hors ligne de sites et à des alertes adressées aux organisations publiques et privées. Les failles, suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619, permettaient une exécution de code à distance sans authentification sur des versions de PHP utilisées depuis plusieurs années. PHP fait fonctionner environ 70 % des sites web, ce qui a donné à l’incident une portée bien supérieure à celle d’une application isolée.
OpenAI affirme que ses modèles ont contribué à l’identification d’une des failles, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités. L’épisode fournit un cas concret pour comparer cinq approches de détection assistée par IA en 2026, de l’analyse du code source à la recherche autonome de failles dans des composants largement déployés.
1. OpenAI Codex et GPT-5.6 Sol, de l’audit de code à la faille exploitable
OpenAI a présenté son initiative Patch the Planet comme une opération coordonnée avec des mainteneurs, des chercheurs et des entreprises de sécurité. Dans ce cadre, la société Calif a identifié une vulnérabilité critique de PHP avec l’aide de GPT-5.6 Sol, selon OpenAI. Wiz a parallèlement découvert et signalé les deux failles.
L’intérêt de cette approche tient à la capacité d’un modèle avancé à parcourir de grandes quantités de code, à formuler des hypothèses sur les chemins d’exécution dangereux et à produire des tests destinés à confirmer une corruption mémoire. La valeur ne vient donc pas d’un simple signalement automatique, mais de la chaîne complète entre l’hypothèse, la reproduction, la qualification de l’impact et la divulgation coordonnée.
Les deux vulnérabilités PHP ont été corrigées dans des versions de sécurité publiées le 21 octobre 2026. Elles pouvaient conduire à une exécution de code à distance sans authentification, ce qui explique les recommandations de mise à jour immédiate et les mesures préventives prises par plusieurs agences.
À retenir : l’IA devient particulièrement utile lorsqu’elle transforme une anomalie difficile à interpréter en preuve technique reproductible. L’incident PHP montre toutefois que la validation humaine et la coordination avec l’éditeur restent indispensables.
Ce que le cas PHP démontre
Les vulnérabilités concernaient la gestion de la mémoire et des erreurs. Les descriptions publiques associent notamment les failles à une corruption liée à un manque de mémoire, à un état global obsolète, à des erreurs de type use-after-free et à des problèmes de confusion de types dans OPcache.
Wiz a regroupé les deux vulnérabilités sous le nom php2shell et a démontré une exécution de code à distance non authentifiée sur des images récentes de WordPress, Drupal et Joomla. Ces trois logiciels reposent fréquemment sur PHP, ce qui illustre le risque systémique d’une faille située dans un composant d’infrastructure partagé.
OpenAI indique que, à sa connaissance, l’IA de pointe a découvert ces vulnérabilités avant les attaquants. Cette avance a permis aux mainteneurs et aux fournisseurs de sécurité de préparer des correctifs et des protections avant la divulgation publique.
2. Wiz Atlas, une recherche autonome orientée cloud
Wiz a découvert indépendamment les deux vulnérabilités PHP et les a signalées dans le cadre de la réponse coordonnée. L’entreprise a indiqué que Wiz Atlas, son système d’IA destiné à la recherche de vulnérabilités, avait participé aux travaux avec plusieurs modèles, dont Gemini 4 Argon et GPT-5.6 Sol.
Cette approche se distingue d’un scanner classique par son orientation vers les environnements cloud et les chemins d’attaque réels. Le système peut relier une faiblesse dans un composant à ses conséquences sur des images, des applications et des ressources déployées. Pour une équipe de sécurité, cette contextualisation aide à hiérarchiser les vulnérabilités selon leur exposition effective.
L’affaire PHP illustre cette logique. Une faille dans le langage lui-même ne se limite pas à un dépôt ou à un serveur isolé. Elle peut se propager à des applications qui utilisent PHP indirectement, notamment des systèmes de gestion de contenu et des frameworks web.
De la découverte à la validation
Selon les informations publiées par Wiz et reprises par plusieurs médias, l’équipe a utilisé des modèles d’IA pour la découverte, le développement d’exploits, la détection d’attaques et la validation des correctifs. Cette combinaison couvre plusieurs étapes qui étaient auparavant traitées par des outils séparés.
La démonstration avec php2shell est particulièrement significative pour les responsables de plateformes. Elle relie la faiblesse théorique à une capacité d’exploitation sur des environnements logiciels populaires. Cela permet de prioriser l’application du correctif selon les versions réellement déployées plutôt que selon la seule gravité théorique d’une alerte.
Le principal avantage de Wiz Atlas concerne ainsi la surface d’attaque complète. L’outil ne cherche pas seulement une ligne de code vulnérable, il aide à déterminer si cette ligne peut devenir un point d’entrée vers des ressources accessibles depuis Internet.
3. Gemini 4 Argon, l’IA appliquée à l’ensemble du cycle de réponse
Wiz a également cité Gemini 4 Argon dans ses travaux sur les vulnérabilités PHP. Le modèle aurait contribué à la découverte des failles, au développement de l’exploit, à la détection des attaques et à la validation des correctifs.
Cette polyvalence correspond à l’évolution des outils de sécurité en 2026. La détection seule ne suffit pas lorsqu’une organisation doit comprendre quelles versions sont exposées, vérifier si une tentative d’exploitation a eu lieu, tester une règle de protection et confirmer que le correctif ne dégrade pas le service.
Pour les équipes chargées de grands parcs applicatifs, l’analyse assistée par IA peut réduire le temps consacré au tri des résultats. Elle peut aussi rapprocher des informations habituellement séparées, comme le code vulnérable, les journaux d’accès, la configuration cloud et les images de conteneurs.
Un outil de validation, pas un remplacement du correctif
La découverte d’une vulnérabilité ne supprime pas la nécessité d’appliquer le correctif publié par le mainteneur. Dans le cas de PHP, des versions de sécurité ont été diffusées pour corriger les deux failles critiques, et les utilisateurs ont été encouragés à mettre à jour immédiatement.
Une IA peut aider à vérifier qu’un environnement n’utilise plus une version affectée, qu’un exploit ne fonctionne plus et qu’une règle de détection repère les comportements associés. Elle ne remplace pas le cycle de gestion des versions, la revue des changements ni les procédures de retour arrière.
Cette distinction est essentielle pour éviter un faux sentiment de sécurité. Une organisation qui obtient un résultat négatif lors d’un scan ne dispose pas nécessairement d’une preuve générale d’absence de vulnérabilité. Le résultat dépend du périmètre analysé, de la configuration et de la qualité des tests générés.
4. Calif et les modèles frontier, une méthode adaptée aux composants historiques
Calif a participé à l’identification d’une faille PHP dans le cadre d’un audit soutenu par OpenAI. L’entreprise a utilisé GPT-5.6 Sol pour analyser le code d’un langage dont certaines versions remontent à la série PHP 5.4.
Les composants anciens présentent un défi particulier pour les outils de sécurité. Leur code peut combiner des conventions historiques, des chemins d’exécution complexes et des mécanismes bas niveau difficiles à couvrir avec des règles statiques simples. Un modèle peut accélérer l’exploration de ces chemins, mais la confirmation repose toujours sur des tests techniques et une reproduction contrôlée.
Les failles PHP ont montré pourquoi les bibliothèques et langages largement utilisés doivent figurer dans les programmes de recherche proactive. La criticité ne dépend pas seulement du nombre de lignes vulnérables. Elle dépend aussi du nombre de produits qui intègrent le composant et de la possibilité d’exploiter la faille à distance.
Où cette solution est la plus utile
L’approche de Calif et d’OpenAI s’adresse surtout aux mainteneurs, aux éditeurs de logiciels et aux équipes capables d’auditer des bases de code importantes. Elle est adaptée aux situations où une vulnérabilité peut affecter une famille entière de produits plutôt qu’un seul service.
Elle peut également servir lors d’un audit ciblé après un changement majeur, d’une migration de version ou d’une alerte concernant une fonction sensible. Les résultats doivent ensuite être transformés en correctif, en test de non-régression et en consignes de déploiement.
Le cas PHP confirme enfin l’importance de la divulgation coordonnée. Les chercheurs, le projet PHP, les fournisseurs de cloud et les agences de sécurité ont dû synchroniser leurs actions afin de limiter l’exposition avant la publication des détails techniques.
5. Le vérificateur PHP d’OpenAI, un outil ciblé pour mesurer l’exposition
OpenAI a publié un outil de vérification des versions PHP dans le dépôt openai/php2shell-checker, sous la forme d’une compétence Codex. Son objectif est de vérifier l’exposition des sites face aux vulnérabilités regroupées sous le nom php2shell.
Cet outil ne remplace pas une plateforme générale de gestion des vulnérabilités. Il répond à un besoin plus immédiat : déterminer si une installation PHP doit être mise à jour après la publication des correctifs du 21 octobre 2026.
Les outils ciblés ont une place importante lors d’une crise de sécurité. Ils peuvent aider les administrateurs à obtenir rapidement une première visibilité sur un parc, surtout lorsque les versions sont dispersées entre des serveurs, des conteneurs et des hébergeurs différents.
Comparatif des cinq approches
| Solution | Rôle principal | Cas d’usage | Fait marquant en 2026 |
|---|---|---|---|
| OpenAI Codex et GPT-5.6 Sol | Analyse et recherche de vulnérabilités | Audit de code et exploration de failles | Calif a identifié une faille PHP avec GPT-5.6 Sol |
| Wiz Atlas | Recherche autonome et analyse de surface d’attaque | Environnements cloud et composants exposés | Wiz a découvert indépendamment les deux failles PHP |
| Gemini 4 Argon | Découverte, exploitation contrôlée et validation | Cycle complet de réponse à incident | Wiz l’a cité dans ses travaux sur PHP |
| Calif avec modèles frontier | Audit approfondi de composants complexes | Langages et logiciels largement déployés | Une faille critique PHP a été identifiée dans le cadre de Patch the Planet |
| PHP2Shell Checker | Vérification ciblée d’exposition | Contrôle rapide des installations PHP | OpenAI a publié un vérificateur dédié à php2shell |
Le tableau ne classe pas les solutions par efficacité générale. Elles ne répondent pas au même besoin : certaines recherchent des failles inédites, d’autres évaluent l’exposition ou valident un correctif. Une entreprise doit donc les considérer comme des briques complémentaires plutôt que comme cinq scanners interchangeables.
Pourquoi PHP2Shell change la hiérarchie des risques
Les deux failles PHP pouvaient permettre une exécution de code à distance sans authentification. Ce type d’impact place une vulnérabilité au plus haut niveau de priorité, car un attaquant n’a pas besoin de disposer au préalable d’un compte valide sur le serveur concerné.
Le risque a été amplifié par la place de PHP dans l’écosystème web. Wiz a estimé que le langage était utilisé par environ 70 % des sites web, une proportion reprise par l’AFP et plusieurs médias internationaux. Le chiffre ne signifie pas que 70 % des sites étaient automatiquement exploitables, mais il mesure l’ampleur potentielle du composant touché.
Des agences aux États-Unis, en Europe, au Canada et en Australie ont recommandé des mesures urgentes. Certains organismes ont conseillé des coupures préventives ou la mise hors ligne de services afin de limiter le risque pendant l’application des correctifs.
À retenir : une vulnérabilité dans un composant partagé peut devenir plus urgente qu’une faille applicative localisée, même si les deux portent le même niveau de gravité. La dépendance logicielle et l’exposition réseau déterminent l’impact réel.
Les systèmes concernés dépassent les sites PHP sur mesure
PHP est utilisé par des sites développés spécifiquement pour une organisation, mais aussi par des plateformes et des systèmes de gestion de contenu. Wiz a démontré l’exploitation de php2shell sur des images récentes de WordPress, Drupal et Joomla.
Cette réalité complique l’inventaire. Une équipe peut connaître le nom de son application sans connaître précisément la version du moteur PHP utilisée par le serveur, le conteneur ou l’hébergeur. La réponse doit donc associer l’analyse applicative à l’inventaire des dépendances et des images déployées.
Les outils d’IA peuvent accélérer cette cartographie, mais la qualité du résultat dépend de l’accès aux environnements. Une solution qui ne voit pas les serveurs, les dépôts ou les journaux concernés ne peut pas fournir une évaluation complète de l’exposition.
Comment intégrer ces solutions dans une équipe de sécurité
Une stratégie efficace commence par l’inventaire des composants critiques. Les équipes doivent identifier les langages, bibliothèques, images de conteneurs, frameworks et services exposés à Internet, puis relier ces éléments aux versions déployées.
L’IA intervient ensuite à plusieurs niveaux : recherche de défauts dans le code, génération de tests, analyse de chemins d’attaque, tri des alertes et validation des correctifs. Chaque résultat doit être associé à une preuve exploitable par un développeur ou un analyste sécurité.
Les contrôles à instaurer
- Scanner le code source avant la mise en production et après les changements sensibles.
- Surveiller les dépendances et les images de conteneurs utilisées par les applications.
- Tester les vulnérabilités critiques dans un environnement isolé avant toute validation.
- Vérifier les versions réellement actives sur les serveurs, et pas seulement celles déclarées dans les fichiers de projet.
- Conserver une trace des preuves, des correctifs appliqués et des tests de non-régression.
- Préparer une procédure d’urgence pour isoler un service exposé lorsque le correctif n’est pas encore disponible.
La priorité doit être donnée aux failles exploitables à distance, sans authentification, dans des composants présents sur plusieurs applications. C’est précisément la combinaison observée dans l’affaire PHP : impact technique élevé, large diffusion et possibilité d’atteindre des systèmes variés.
Les limites à ne pas masquer
Un modèle peut produire une hypothèse erronée, manquer un chemin d’exécution ou générer un exploit incomplet. La validation par un chercheur, un mainteneur ou une équipe de sécurité reste nécessaire avant toute divulgation ou décision de remédiation.
Les environnements de production imposent aussi des contraintes opérationnelles. Un test intrusif peut interrompre un service, corrompre des données ou déclencher une alerte légitime. Les campagnes doivent donc être cloisonnées et soumises à des règles d’autorisation précises.
Enfin, la détection ne garantit pas la correction. Le risque ne diminue réellement qu’après le déploiement du correctif, la vérification de sa présence et l’analyse des signes d’exploitation antérieure.
Notre avis : quelles solutions méritent une priorité en 2026 ?
Pour une organisation qui gère des applications cloud, Wiz Atlas constitue l’approche la plus directement alignée sur la surface d’attaque et les ressources réellement exposées. Pour un éditeur ou un mainteneur responsable d’un composant partagé, l’audit assisté par GPT-5.6 Sol et la méthode utilisée par Calif offrent une capacité de recherche plus profonde.
Gemini 4 Argon prend sa valeur dans les équipes qui veulent relier découverte, développement d’exploit contrôlé, détection et validation. Le PHP2Shell Checker répond, lui, à une urgence précise : vérifier rapidement l’exposition d’installations PHP après la publication des correctifs.
Le choix le plus solide n’est donc pas de sélectionner un unique outil, mais de combiner recherche proactive, inventaire d’exposition et contrôle post-correctif. Dans les six prochains mois, les solutions capables de fournir une preuve reproductible et de relier une faille à un actif réellement exposé devraient prendre l’avantage sur les assistants qui se limitent à générer des explications de code.
L’incident PHP marque déjà un seuil concret : l’IA ne sert plus seulement à corriger des erreurs détectées par l’humain, elle participe à la découverte de failles capables d’affecter une part majeure du Web. La prochaine question sera de savoir combien de composants critiques pourront être audités avant qu’un attaquant ne transforme une anomalie en compromission.