Découverte de vulnérabilités PHP2Shell via IA : réponse coordonnée en 2 mois
En bref
- Deux vulnérabilités critiques (PHP2Shell) découvertes dans le cœur de PHP via GPT-5.6 Sol et Gemini 4 Argon.
- Exécution de code à distance possible sur WordPress, Drupal et Joomla, avec fuite mémoire de type Heartbleed.
- Réponse coordonnée sur deux mois avec correctifs, règles WAF préventives et outils de diagnostic publiés par OpenAI.
D'après Latent.Space, OpenAI annonce avoir découvert avec son partenaire Calif deux vulnérabilités critiques dans le cœur de PHP, nommées PHP2Shell, via son modèle GPT-5.6 Sol dans le cadre du programme « Patch the Planet ». Ces failles, identifiées comme CVE-2026-109618 et CVE-2026-109619, permettent une exécution de code à distance non authentifiée sur des CMS majeurs comme WordPress, Drupal et Joomla, ainsi qu'une fuite mémoire de type Heartbleed.
La réponse a été coordonnée sur deux mois entre chercheurs, mainteneurs de PHP, fournisseurs de sécurité et gouvernements. Cloudflare a déployé des règles WAF préventives avant la publication du correctif, tandis que le NSA a appelé à une mise à jour immédiate. OpenAI a publié un dépôt avec un outil d'aide au diagnostic, mais aucune version corrigée précise n'est encore référencée dans les sources citées.
Les vulnérabilités soulèvent des questions sur la fiabilité des correctifs et la rapidité de leur déploiement. Bien que les démonstrations de preuve de concept soient documentées, leur exploitation réelle reste à confirmer. La communauté open source et les acteurs cloud semblent avoir réagi rapidement, mais des risques de fuites prématurées et de perturbations subsistent selon certaines sources non corroborées.
Ce que ça change pour vous
- CybersécuritéLes acteurs de la cybersécurité doivent intégrer rapidement les correctifs PHP et déployer des mesures préventives comme les règles WAF, tout en surveillant les tentatives d'exploitation post-annonce.
Ce résumé vous donne l'essentiel. L'article complet, ses chiffres et ses citations sont chez Latent.Space.
Lire l'article originalRésumé généré par IA à partir de la source, relu par règles. Comment nous rédigeons · Signaler une erreur