Panique sur le Web ! Les capacités de certains nouveaux modèles d’intelligence artificielle ne cessent de prendre le monde de court. Nous savions déjà que ceux les plus avancés, tels que Claude Mythos, étaient capables de détecter les failles dans les logiciels. Cela a conduit, par exemple, à une mise à jour de Mozilla Firefox qui a corrigé 271 failles. Mais ce qui est vrai pour les logiciels clients l’est tout autant pour les programmes installés sur les serveurs qui sous-tendent Internet.
Des chercheurs d’OpenAI, Wiz et Calif ont utilisé GPT-5.6 Sol pour analyser le code des serveurs PHP, un langage de programmation très utilisé pour les sites Web. Et ils ont trouvé deux failles critiques, publiées sous les références CVE-2026-109618 et CVE-2026-109619 et baptisées PHP2Shell. En exploitant ces failles, un utilisateur non authentifié peut exécuter du code arbitraire, autrement dit accéder directement aux fichiers et données hébergés sur le serveur. Cela touche le cœur du fonctionnement de PHP, affectant quasiment toutes les requêtes.
« Leur place centrale dans PHP est ce qui rendait ces deux failles si graves, mais aussi si difficiles à corriger sans casser la compatibilité, détériorer les performances ou imposer des modifications au vaste écosystème d’extensions tierces », a déclaré la PHP Foundation.
70 % du Web potentiellement exposé
Cela affecte un très grand nombre de sites, dont la plupart des CMS (systèmes de gestion de contenu) comme WordPress, Drupal, ou Joomla, ainsi que d’autres programmes très utilisés comme Roundcube, Nextcloud et phpMyAdmin. Environ 70 % du Web serait touché. De nombreuses administrations à travers le monde ont été contraintes de fermer temporairement leurs sites, y compris le site des impôts français.
Alerte avant le Q-Day : Claude Mythos a trouvé en 60 heures la faille d’un futur bouclier contre le quantique
L’informatique quantique n’est plus la seule menace qui plane sur la sécurité de nos données. Une intelligence artificielle vient de mettre en évidence une faille dans un algorithme prometteur du chiffrement post-quantique, en seulement 60 heures. Une découverte qui pourrait bien changer la manière dont ces technologies sont évaluées…. Lire la suite
Les développeurs de PHP ont publié des correctifs, qui portent les numéros de version à 8.5.12, 8.4.27, 8.3.36 et 8.2.35, selon la branche utilisée. Toutefois, ces failles sont présentes depuis au moins PHP 5.4, et de nombreux sites utilisent de vieilles versions. La situation est tellement grave que PHP.net a aussi publié le code source de rétroportages pour PHP 7.4, 8.0 et 8.1. Les administrateurs utilisant encore ces versions devront donc soit compiler les correctifs eux-mêmes, soit espérer que la distribution Linux ou le dépôt tiers qu’ils utilisent les mettent à disposition.
Le gestionnaires de serveurs Web doivent mettre à jour le PHP au plus vite. Illustration créée à l’aide d’un outil IA. © Edward Back, Futura
Si l’annonce a été faite le 21 octobre, Amazon avait déjà détecté une attaque utilisant ces failles dès le 17 octobre, et en a relevé d’autres depuis. C’est donc une véritable course qui est engagée, entre les administrateurs de sites qui doivent appliquer les mises à jour dès que possible, et les pirates qui peuvent analyser le code des correctifs pour identifier les failles, puis créer rapidement de nouvelles attaques grâce à l’IA.
Une ligne rouge vient d’être franchie : le nouveau GPT-6 atteint un niveau qualifié de « critique » et inquiète ses créateurs !
Présenté comme son modèle « le plus aligné au monde », c’est-à-dire qui fait vraiment ce qu’on attend de lui, GPT-6 Astra fait un peu peur à ses propres créateurs…. Lire la suite
De nombreux sites risquent de rester vulnérables
Le principal problème n’est pas que certains sites soient temporairement inaccessibles. Cette interruption permet de limiter les risques en attendant de mettre à jour correctement les systèmes. Mais de nombreux sites risquent de ne pas être mis à jour avant longtemps. Leur code peut être incompatible avec les versions récentes de PHP, par exemple s’ils font appel à des scripts écrits par un tiers il y a longtemps. Les propriétaires peuvent en avoir oublié l’existence, ou ceux qui les gèrent peuvent ne pas disposer des compétences techniques nécessaires. Beaucoup font appel à des hébergeurs, et ne disposent pas d’un accès pour effectuer la mise à jour.
Bref, même si des correctifs sont disponibles, de nombreux sites pourraient rester vulnérables pendant des semaines, des mois ou des années. Du pain béni pour les hackers. Et ce ne sera certainement pas la dernière alerte de sécurité de ce genre.