Des chercheurs en sécurité ont découvert de graves vulnérabilités dans PHP, le langage de script open source qui alimente environ 70 % des sites web mondiaux, avec l'aide d'un modèle d'OpenAI.

Ces failles, collectivement baptisées PHP2Shell, ont été décrites comme potentiellement parmi les plus graves découvertes dans PHP depuis plus d'une décennie, et certains experts ont établi des parallèles avec Heartbleed, la notoire vulnérabilité d'OpenSSL divulguée en 2014 qui permettait aux attaquants de lire des portions de la mémoire des serveurs.

Ce que les chercheurs ont découvert

Les vulnérabilités sont apparues lors d'un audit mené en août 2026 par des chercheurs de Calif, une société de sécurité. L'équipe a utilisé GPT-5.6 Sol, l'un des modèles d'OpenAI, pour passer au crible le code source de PHP. Ryan Austin, de Calif, est crédité de la découverte des vulnérabilités.

Ces bugs permettent l'exécution de code à distance et le contrôle de la mémoire du serveur. Concrètement, un attaquant situé n'importe où sur Internet pourrait forcer un serveur à exécuter des instructions qu'il n'aurait jamais dû exécuter.

Ce qui rend cette découverte importante, c'est l'emplacement des failles : dans PHP lui-même, plutôt que dans une application un plugin quelconque construit au-dessus.

Selon les conclusions de la recherche, les failles pourraient exposer des données sensibles appartenant aux visiteurs des sites. Elles pourraient également servir de tête de pont pour d'autres cyberattaques contre d'autres systèmes.

Le déroulement de la divulgation

Le PDG de Calif, Thai Duong, a alerté Volker Dusch, qui travaille sur PHP, le 11 août, lançant ainsi un effort discret et coordonné pour corriger le problème avant que les attaquants ne puissent en avoir connaissance. Cette approche axée sur la confidentialité est la pratique de sécurité standard connue sous le nom de divulgation coordonnée de vulnérabilités, selon laquelle les failles sont corrigées en coulisses avant que les détails ne soient rendus publics.

L'effort de réponse a réuni les mainteneurs de PHP, des chercheurs indépendants, des fournisseurs de sécurité et des agences américaines, dont la CISA (Cybersecurity and Infrastructure Security Agency) et l'ONCD (Office of the National Cyber Director).

OpenAI a annoncé son initiative « Patch the Planet » le 21 octobre 2026. Le programme est conçu pour mobiliser les défenseurs autour des vulnérabilités PHP2Shell et soutenir l'effort coordonné de correction. Une fuite partielle d'informations sur les failles a contraint l'équipe à accélérer la publication du correctif au 22 octobre.

Dans le cadre de cette initiative, OpenAI contribue à hauteur de 1 milliard de dollars en accès subventionné à ses modèles. L'objectif est de mettre des outils d'IA entre les mains des défenseurs de première ligne travaillant sur ce type de vulnérabilités.

Pourquoi la recherche de bugs assistée par IA change la donne

Les experts cités dans la recherche ont établi le parallèle avec Heartbleed. Ils ont également souligné que la découverte de vulnérabilités améliorée par l'IA est une arme à double tranchant : la même capacité qui aide les défenseurs à repérer les failles pourrait aider les attaquants à les trouver et à les exploiter.

Cette tension est au cœur de l'engagement d'un milliard de dollars d'OpenAI. Si les modèles peuvent révéler plus rapidement des failles critiques, la course devient une question de savoir qui les utilisera en premier. Subventionner l'accès pour les défenseurs vise à faire pencher cette course en faveur de ceux qui appliquent les correctifs.

Ce que cela signifie

Pour les opérateurs de sites web, la priorité immédiate est simple : mettre à jour. Un correctif existe, et la fuite partielle signifie que le compte à rebours a commencé avant que quiconque ne le souhaite. Comme PHP sous-tend une si grande partie du web, cette mise à jour va bien au-delà d'un site ou d'un hébergeur en particulier.

Pour le monde open source, PHP2Shell est un nouveau rappel d'un problème structurel : les infrastructures Internet critiques reposent souvent sur des projets maintenus par de petites équipes, une dépendance qui devient un risque systémique lorsque des failles de cette gravité apparaissent. La forte implication des agences américaines dans cette divulgation montre à quel point les gouvernements prennent désormais au sérieux cette dépendance.

Ce qu'il faut surveiller ensuite : la rapidité avec laquelle les sites appliquent le correctif du 22 octobre, l'éventuelle exploitation de PHP2Shell signalée dans la nature, et la manière dont OpenAI distribuera son milliard de dollars d'accès subventionné.