L’essentiel
- Deux failles d’exécution de code à distance (RCE) ont été corrigées le 21 octobre 2026 dans toute la ligne PHP 8.x ; leur score de gravité CVSS est de 9,2 sur 10.
- OpenAI attribue la découverte à GPT-5.6 Sol, dans le cadre de son initiative Patch the Planet ; le cabinet Wiz a trouvé les mêmes failles de son côté, avec sa plateforme Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol.
- Wiz a confirmé une RCE sans authentification contre Drupal le 20 août, puis contre WordPress le 21 août, avant de prévenir l’équipe PHP le 24 août.
- Une fuite des identifiants CVE le 20 octobre a avancé la publication d’un jour ; des exploits circulent depuis.
Un langage qui fait tourner environ 70 % du web vient de recevoir un correctif d’urgence, et deux intelligences artificielles concurrentes figurent au générique de la découverte : GPT-5.6 Sol chez OpenAI, Gemini 4 Argon chez Wiz et Google.
Deux promesses pour une même faille
D’un côté, OpenAI. Son initiative Patch the Planet affiche une ambition de bien commun : mettre ses modèles au service de chercheurs pour trouver les failles avant les attaquants. L’entreprise range le dossier, baptisé PHP2Shell, parmi les problèmes de sécurité « les plus marquants de ces dernières années » et le présente comme un cadre reproductible pour les découvertes à venir.
De l’autre, Wiz et Google. Le cabinet de sécurité n’a pas travaillé sur un seul modèle : il a combiné sa plateforme Wiz Atlas avec Gemini 4 Argon et GPT-5.6 Sol. Selon Wiz, Gemini 4 Argon s’est révélé utile à chaque étape : trouver la faille, développer l’exploit, construire la détection d’attaque et valider le correctif.
OpenAI promet un processus, Wiz livre une chaîne de travail complète. L’une parle de méthode collective, l’autre d’outillage. Sur le fond, les deux disent la même chose : au-delà du simple signalement d’un motif suspect, le modèle accompagne désormais l’enquête jusqu’à la preuve.
Deux équipes, une cible, pas de classement possible
Pour qui doute de la valeur de ces découvertes, le recoupement est un argument : une faille trouvée de façon indépendante par plusieurs acteurs n’est pas un coup de chance statistique. La chasse aux vulnérabilités par IA devient reproductible. Le précédent date de juillet : Searchlight Cyber avait déjà mis au jour, avec GPT-5.6 Sol, une chaîne d’exécution de code à distance dans le cœur de WordPress, baptisée wp2shell.
Les sources disponibles ne permettent pourtant pas de trancher plusieurs points. Qui a vu la faille en premier ? Quelle part revient au modèle, quelle part à l’expertise des chercheurs qui l’orientent ? Wiz date sa découverte du 19 août, alors qu’OpenAI ne donne pas de calendrier comparable dans ses messages publics. La comparaison entre GPT-5.6 Sol et Gemini 4 Argon reste donc celle de deux communications, sans banc d’essai pour les départager.
La convergence rassure sur la fiabilité, mais elle inquiète aussi. Si deux équipes, avec des outils existants, retombent sur la même faille en quelques semaines, rien n’interdit à un attaquant de faire de même.
L’exploit qui s’adapte tout seul
Le passage le plus lourd de conséquences figure dans l’analyse de Wiz. Adapter un exploit écrit pour une installation précise à d’autres versions de PHP, d’autres configurations, d’autres dispositions de la mémoire demandait autrefois un effort considérable. Les grands modèles de langage (LLM) font disparaître cette barrière en ajustant l’exploit automatiquement. Wiz le résume ainsi : cela « abaisse sensiblement la barrière pour étendre les attaques à différents déploiements », et des vulnérabilités qui semblaient impraticables à exploiter « deviennent des cibles viables ».
Le défenseur reçoit le même cadeau, côté détection et validation du correctif. Mais il doit aussi déployer, redémarrer, tester, et c’est un travail humain qu’aucun modèle n’accélère autant. L’attaquant, lui, n’a besoin que d’une seule cible qui n’a pas été mise à jour.
Deux mois de divulgation coordonnée, puis une fuite
Le calendrier publié par Wiz montre une divulgation soignée : découverte le 19 août, RCE sans authentification confirmée contre Drupal puis WordPress dans la foulée, signalement à l’équipe de sécurité de PHP le 24 août, accusé de réception le 21 septembre, publication des versions corrigées le 21 octobre. Le correctif a été coordonné sur deux mois en cinq phases, avec les développeurs de PHP, Wiz, Cloudflare et des autorités américaines, dont la CISA (l’agence fédérale de cybersécurité) et la Maison-Blanche.
Tout a pourtant déraillé la veille. Selon la PHP Foundation, les deux identifiants CVE ont circulé sur des forums le 20 octobre vers 17 h, heure de Paris, avec une mauvaise heure de publication et un score erroné de 10,0. Le projet a donc avancé son annonce, et la sortie des versions est passée du 22 au 21 octobre. Calif, l’un des cabinets ayant signalé les failles, a ensuite publié par erreur une vidéo montrant sa preuve de concept (PoC) à l’œuvre contre plusieurs cibles. Des copies ont circulé et accéléré la production d’exploits.
Aucun modèle n’est en cause dans cette fuite, et personne ne sait encore comment les identifiants ont filtré. L’épisode montre toutefois qu’un processus pensé pour des découvertes rares encaisse mal une cadence qui s’accélère.
Vérifier son propre serveur, avec ses limites
OpenAI a publié sur GitHub un outil, php2shell-checker, qui se pilote aussi par un skill Codex. Il indique si une version de PHP est concernée : OK, VULNERABLE ou UNKNOWN. Ses limites sont écrites noir sur blanc : il ne lit que la version exposée dans les en-têtes HTTP (X-Powered-By, Server) ou renvoyée par php -v, ne suit pas les redirections et rend UNKNOWN quand l’en-tête est masqué. Un « OK » est une comparaison de numéros de version, pas la preuve que le correctif est appliqué.
Pour un hébergeur ou une agence qui gère des dizaines de sites, la marche à suivre tient en deux gestes : passer à une version corrigée de la ligne 8.x, puis contrôler côté serveur plutôt que de se fier à ce que le site affiche. OpenAI s’attend à ce que des découvertes de cette ampleur « augmentent fortement dans les prochains mois », tout en reconnaissant que les mêmes capacités servent aussi les attaquants.
Mon avis
Le recoupement entre deux modèles rivaux est moins un trophée qu’un avertissement : quand la découverte devient reproductible, elle n’appartient plus seulement à ceux qui jouent selon les règles. Je ne crois pas que deux mois de divulgation coordonnée tiennent longtemps face à des modèles qui trouvent, exploitent et adaptent en quelques jours. La course se jouera sur la vitesse de déploiement des correctifs, bien plus que sur la découverte.
Sources
- Son initiative Patch the Planet
- openai/php2shell-checker (GitHub)
- Today’s PHP Security Release, and How We’re Strengthening PHP Security
Ils m’ont fait confiance
« Il ne se contente pas de corriger les symptômes, il cherche à comprendre l'origine des problèmes et à sécuriser les modifications effectuées. J'ai réellement le sentiment d'avoir trouvé un développeur qui comprend à la fois la technique et les enjeux globaux du projet. »
Évaluation client · projet WordPress · septembre 2026
5,0/5 sur 17 évaluations
Faire appel à mes services →
