Les mainteneurs de PHP ont publié mercredi des correctifs d'urgence, un jour avant la date prévue, après la fuite en ligne de détails concernant deux vulnérabilités critiques avant leur date de divulgation coordonnée. Ces failles permettent à des attaquants de compromettre des serveurs exécutant PHP, le langage qui alimente environ 70 % des sites web dont le langage côté serveur est connu.

La divulgation coordonnée était prévue pour le 22 octobre, selon Greg Brockman, président d'OpenAI, qui a détaillé l'opération dans une annonce de divulgation coordonnée. La divulgation coordonnée vise à ce que les correctifs soient prêts avant que les détails techniques ne soient rendus publics — une marge de sécurité que la fuite précoce a réduite. Les détails commençant à circuler avant cette date, les mainteneurs de PHP ont avancé la publication au 21 octobre.

« Je suis reconnaissant que la coalition ait bénéficié de deux mois complets pour se préparer », a déclaré Brockman dans une publication sur X. Une fuite bien avant que le correctif ne soit prêt « aurait eu un impact considérable », a-t-il ajouté.

Les vulnérabilités sont devenues publiques avant que les correctifs ne soient disponibles, a indiqué Joviane Jardim, chercheuse principale en sécurité chez Detectify. Selon Jardim, attaquants et défenseurs ont en pratique démarré en même temps.

Deux failles notées 9,2 sur 10 permettant l'exécution de code à distance

Les failles, référencées CVE-2026-109618 CVE-2026-109619, affichent chacune un score de gravité de 9,2 sur 10. Toutes deux sont classées critiques et permettent l'exécution de code à distance sur des serveurs non corrigés — c'est-à-dire la possibilité d'exécuter des commandes arbitraires sur une machine depuis Internet. Collectivement, ces failles ont été baptisées « PHP2Shell ».

Selon Brockman, la faille sous-jacente était présente dans PHP depuis 14 ans — une période suffisamment longue pour précéder toutes les branches de versions bénéficiant actuellement d'un support officiel. Une version limitée était apparue en 2024 mais « n'était pas jugée significative à l'époque », a-t-il précisé.

L'équipe de sécurité de PHP a publié un avertissement mardi soir, et les correctifs ont commencé à être déployés après 10 heures, heure de l'Est, mercredi.

La Finlande, les Pays-Bas et la France mettent des sites gouvernementaux hors ligne

Les administrateurs ont réagi rapidement. Des centaines de sites sont passés hors ligne mercredi, la Finlande, les Pays-Bas et la France ayant fermé leurs sites gouvernementaux par précaution — une méthode brutale mais efficace pour supprimer la surface d'attaque pendant la correction des serveurs. L'UE, les États-Unis, l'Allemagne, le Japon, l'Australie et le Royaume-Uni ont également émis des alertes locales, tandis que Nintendo et d'autres grandes organisations ont mis des services hors ligne pour appliquer les correctifs.

Cloudflare constate déjà des attaques et a déployé des mesures d'atténuation provisoires pour certains clients, a indiqué son directeur technique Dane Knecht. Jake Knott, responsable du renseignement sur les menaces chez watchTowr, a déclaré que son équipe suit les tentatives d'exploitation dans la nature à l'aide d'outils de preuve de concept construits par IA. Ces efforts n'ont pas encore porté leurs fruits, a précisé Knott, mais il ne s'attend pas à ce que cela dure.

OpenAI affirme que ses modèles ont découvert les failles en premier

OpenAI a déclaré que ses modèles avaient mis au jour les vulnérabilités. La société de sécurité Calif a utilisé GPT-5.6 Sol dans le cadre du programme Patch the Planet d'OpenAI et a découvert une version de la faille en août. Brockman a indiqué que l'équipe d'OpenAI elle-même avait découvert une version plus complète en septembre. La société de sécurité cloud Wiz a détecté et signalé les deux failles de manière indépendante.

OpenAI a indiqué avoir passé deux mois à diriger une coalition de mainteneurs, de chercheurs et de fournisseurs de sécurité — dont Wiz et Cloudflare — pour tester les correctifs et préparer des recommandations. La société a également sollicité le Bureau du directeur national de la cyberécurité et la CISA, et s'est engagée à fournir 1 milliard de dollars d'accès subventionné à Daybreak pour les organisations aux budgets de sécurité limités qui protègent des services critiques.

OpenAI a reconnu que les capacités qui ont permis de découvrir ces failles pourraient aussi aider des attaquants à créer rapidement des exploits. Brockman a appelé les gouvernements et autres défenseurs autorisés à passer Internet au peigne fin pour repérer les serveurs exposés et, dans les cas extrêmes, à les corriger à distance.

Par ailleurs, OpenAI a indiqué mardi que deux de ses agents avaient désactivé des moniteurs internes de désalignement tout en travaillant sur des tâches de programmation, comme l'a rapporté Cryptopolitan.

Environ la moitié des sites PHP fonctionnent sous des versions non prises en charge

Environ la moitié des sites PHP fonctionnent sous des versions plus anciennes, a déclaré Jardim, et seules les versions 8.2 et ultérieures de PHP bénéficient de publications officielles. « PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet PHP », a indiqué l'équipe de sécurité de PHP. Celle-ci a toutefois publié des rétroportages sources minimaux pour PHP 7.4, 8.0 et 8.1.

Selon Don Smith de Sophos, la première étape pour les défenseurs consiste à identifier tous les endroits où PHP est exécuté, car il se cache souvent sous des systèmes de gestion de contenu et des plateformes d'hébergement. Tout système ne pouvant pas être corrigé devrait être retiré d'Internet jusqu'à sa sécurisation, a-t-il ajouté.