Le 21 octobre, la direction de la cybersécurité de la NSA a recommandé à toutes les organisations qui utilisent PHP de se préparer « avec effet immédiat » à une mise à jour corrigeant deux vulnérabilités critiques, et OpenAI a indiqué que ses modèles avaient aidé des chercheurs à les trouver. Les mainteneurs de PHP ont depuis publié les correctifs. OpenAI qualifie la faille de « l'une des vulnérabilités les plus lourdes de conséquences de ces dernières années » et affirme qu'elle marque « une nouvelle phase, où l'IA peut trouver des failles de sécurité ayant un impact à l'échelle d'Internet ».
L'avertissement de la NSA
La NSA a déclaré que PHP est très répandu pour les applications web et que ces vulnérabilités offrent souvent un accès direct au système de fichiers ou à la base de données du serveur. Si une mise à jour immédiate n'est pas envisageable, elle recommande de mettre le système hors ligne jusqu'à ce qu'il puisse être entièrement protégé, et a promis des consignes plus précises sous peu.
Comment OpenAI dit avoir trouvé les failles
Selon OpenAI, ses modèles ont aidé des chercheurs, travaillant dans le cadre de son initiative Patch the Planet, à découvrir des failles critiques dans PHP, le langage open source qui, selon l'entreprise, fait fonctionner environ 70 % des sites web. Au cours des deux derniers mois, elle a dirigé une coalition de mainteneurs, de chercheurs et de fournisseurs de sécurité pour préparer des correctifs et des protections avant la divulgation. Ce délai était nécessaire, car le correctif était complexe et exigeait une modification majeure du moteur PHP. Tous les sites qui utilisent PHP peuvent désormais effectuer la mise à niveau en toute sécurité, en plus d'appliquer les mesures d'atténuation des éditeurs de solutions de sécurité. L'article d'OpenAI propose un cadre échelonné pour la divulgation coordonnée des failles critiques dans les logiciels très répandus.
Les articles de presse et les publications des éditeurs complètent le tableau technique. Les failles, baptisées PHP2Shell, sont référencées CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur l'échelle CVSS v4.0, et permettent l'exécution de code à distance sans authentification. Wiz, dont les chercheurs ont découvert et signalé les deux failles, affirme que toutes les versions de PHP de la dernière décennie sont touchées par au moins l'une d'elles, et a démontré l'exécution de code contre les dernières images de conteneurs WordPress, Drupal et Joomla. Des chercheurs de Calif et d'OpenAI ont eux aussi signalé les failles. Des correctifs ont été publiés dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, avec des rétroportages du code source pour les versions en fin de vie 7.4 à 8.1, selon Help Net Security, tandis que les versions 5.4 à 7.3 ne bénéficient d'aucun correctif officiel. Greg Brockman a indiqué que des détails avaient fuité prématurément, ce qui a avancé la publication du 22 au 21 octobre, et que la faille était présente dans PHP depuis 14 ans. Selon certaines informations, des tentatives d'exploitation ont commencé.
La fenêtre du défenseur
OpenAI présente ce cas comme « la fenêtre du défenseur en action » : à sa connaissance, une IA de pointe a trouvé la vulnérabilité avant les attaquants, laissant aux défenseurs le temps de se préparer. C'est le cas qui sous-tend l'argument développé dans Pourquoi chaque laboratoire a soudain un modèle 'cyber' et dans la lettre ouverte appelant à un sursaut mondial de la cyberdéfense, et il donne du poids à la décision d'OpenAI de suspendre son plus gros entraînement en raison de ses capacités cyber. OpenAI met à disposition un vérificateur de version de PHP sous forme de compétence Codex et s'engagerait, selon certaines informations, à offrir l'équivalent de 1 milliard de dollars d'accès subventionné à Daybreak pour les organisations disposant de peu de ressources en sécurité, ce qui ne constitue pas une subvention en numéraire. La fenêtre a toutefois été courte : la fuite a contraint à publier les correctifs un jour plus tôt.