PHP : des failles vieilles de 20 ans découvertes par l'IA
Original : PHP armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
Pourquoi c'est important
PHP alimente 70 % du web : une faille non patchée expose des millions de sites.
La NSA alerte sur deux failles critiques dans PHP, présentes depuis la version 5 (2004), affectant ~70 % du web. Découvertes via GPT-5.6 Sol et Wiz Atlas, des correctifs existent déjà.
La NSA a émis une alerte mercredi concernant deux vulnérabilités critiques dans PHP, le langage qui fait tourner environ 70 % des sites web mondiaux — soit plus de 33 millions de sites, dont ceux basés sur WordPress. Ces failles permettent à un attaquant d'accéder au système de fichiers du serveur ou à la base de données d'une application web. Détail troublant : elles sont présentes dans toutes les versions de PHP depuis la version 5, publiée en 2004.
La NSA recommande une mise à jour immédiate vers PHP 8.5.12. Les sites incapables de patcher rapidement devraient, selon l'agence, être retirés du web temporairement.
C'est l'IA qui a permis leur découverte. La société de sécurité Calif, engagée dans l'initiative "Patch the Planet" d'OpenAI, a identifié l'une des failles via GPT-5.6 Sol. De son côté, l'équipe de Wiz a mobilisé Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol pour repérer plusieurs vulnérabilités PHP. Les deux équipes ont suivi une divulgation responsable et travaillé avec la PHP Foundation avant toute publication. Automattic, Akamai, AWS, Cloudflare, Fastly, Microsoft et Vercel ont contribué aux tests des correctifs.
Aucun exploit n'a été observé dans la nature — ces failles étaient jusqu'ici trop complexes à exploiter manuellement. Mais Wiz prévient : "Avec l'IA, ce n'est plus un obstacle. Les LLMs peuvent adapter un exploit à différentes versions, configurations et dispositions mémoire de PHP."