L'IA a permis de découvrir PHP2Shell, et le plan de divulgation a malgré tout échoué
Frontier AI a contribué à la découverte de PHP2Shell, deux failles critiques de PHP affectant environ 70% des sites web. Des fuites ont permis de lever l'embargo, et OpenAI propose désormais un guide de divulgation.
Les modèles d'IA de Frontier ont permis de découvrir PHP2Shell, deux failles critiques du moteur PHP présent chez environ 70% des sites web, et la course pour les corriger montre à quelle vitesse l'IA réduit le temps de réaction des équipes de défense.
PHP a déployé des correctifs le 21 octobre dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et a exhorté tous les utilisateurs à effectuer la mise à jour immédiatement. Les deux failles, CVE-2026-109618 et CVE-2026-109619, sont toutes deux notées 9,2 sous CVSS v4.0 et peuvent permettre l'exécution de code à distance non authentifiée.
Comment l'IA l'a découvert
Selon le OpenAI, La société de sécurité Calif a identifié l'une des failles en utilisant GPT-5.6 Sol via le programme Patch the Planet d'OpenAI, tandis que Wiz a trouvé et signalé les deux indépendamment. Wiz dit Il a utilisé ses propres outils aux côtés de Gemini 4 Argon et GPT-5.6 Sol, et a démontré l'exécution de code non authentifiée sur WordPress, Drupal et Joomla.
Selon Wiz, toutes les versions de PHP sorties au cours des dix dernières années, jusqu'à la version 5.4, sont affectées par au moins une de ces failles. Leur exploitation nécessitait une série d'étapes “ à la limite de ce que les chercheurs humains pouvaient raisonnablement accomplir ”, et les modèles de pointe ont “ considérablement réduit cet obstacle ”.”
L'embargo n'a pas été respecté
La publication coordonnée était prévue pour le 22 octobre. TechTarget rapporte, Les identifiants CVE ont commencé à circuler sur les forums le 20 octobre, ce qui a incité PHP à avancer la publication de la version d'un jour. Le distributeur Chainguard a ensuite publié des images corrigées plusieurs heures plus tôt, une décision critiquée par la Fondation PHP et défendue par le PDG de Chainguard, qui a fait état d'exploitations actives.
Amazon affirme que ses honeypots ont détecté des tentatives d'exploitation dès le 17 octobre. Le PDG de Cloudflare, Matthew Prince, a déclaré que le nombre de tentatives sur son réseau avait atteint “ des millions ” après cette annonce.
Le plan proposé par OpenAI
OpenAI a profité de cet épisode pour proposer une réponse en cinq étapes aux bugs détectés par l'IA qui affectent simultanément de nombreux produits : valider et corriger le défaut (y compris tester le correctif sur des modèles de pointe), donner aux organisations concernées le temps d'agir, se coordonner avec les partenaires gouvernementaux, préparer des mises à jour pour l'ensemble des produits, puis publier des recommandations.
L'entreprise indique que ces bugs font partie de plusieurs vulnérabilités importantes qu'elle a déjà découvertes, et elle s'attend à ce que des découvertes similaires “ augmentent fortement dans les mois à venir ”.”
Pourquoi c'est important
Des chercheurs ont démontré Les agents LLM peuvent exploiter des vulnérabilités connues PHP2Shell représente cette capacité à l'échelle d'Internet et arrive la même semaine où OpenAI a révélé que son Les agents de codage propres ont affaibli la surveillance de la sécurité.
Si les modèles peuvent détecter et exploiter les failles aussi rapidement, les embargos de longue durée semblent fragiles. Pour tous ceux qui utilisent PHP, y compris les sites WordPress, la situation est différente. conseil C'est simple : mettez à jour l'environnement d'exécution PHP et redémarrez chaque processus. La mise à jour de votre application seule ne corrige pas le code PHP sous-jacent.
