🔥 Des milliards de tokens cramés sur 2 CVE PHP en 48h.

Repartage — contenu de François Baligant

🔥 Des milliards de tokens cramés sur 2 CVE PHP en 48h.

php2shell : deux failles dans le cœur de PHP (CVE-2026-109618 et CVE-2026-109619, CVSS 9.2). Une corruption mémoire déclenchée par une erreur Out-of-Memory pendant le parsing d'une requête avec un fichier uploadé en plusieurs parties. Elle permet une RCE non authentifiée et une fuite mémoire du worker PHP façon Heartbleed. Toutes les versions depuis PHP 5.4 sont touchées, soit environ 70% du web, excusez du peu.

Le jour de la divulgation, X s'est transformé en hackathon pour produire un PoC. Des centaines de personnes ont balancé le write-up de Calif dans un LLM avec un simple "fais-moi un exploit". Après avoir cramé l'équivalent de 50 000 Big Mac en tokens pour un résultat nul, le résultat peut se résumer en : "ça marche pas". Des milliers d'exploits générés mais pas parfaitement fonctionnels.

Sauf que réduire ça à de l'AI slop serait passer à côté de l'essentiel. 👇

Tous ces tokens utilisés ont fait émerger des variantes autour de la faille initiale. Wiz (Google) le dit clairement : les bugs publiés ne sont que la partie visible, il existe d'autres variantes de ce pattern dans le code de PHP. Une chercheuse a d'ailleurs déjà pu montrer un crash qui fonctionne encore sur 8.5.12, la version censée tout corriger.

🎯 Maintenant, ajoutez le RL (Reinforcement Learning) dans l'équation.

Les write-ups techniques ultra-détaillés de ces failles ne sont pas que lues par des humains. Ce sont des données qui vont être ingérés par des LLMs. Avec du RL automatisé, un modèle itère seul : il génère un exploit, le teste, observe l'échec, ajuste, recommence. C'est précisément le travail d'adaptation cible par cible qui rend l'exploitation difficile aujourd'hui.

Wiz a trouvé la faille avec Gemini 4 Argon et GPT-5.6 Sol. Leur propre conclusion : l'IA n'a pas supprimé l'adaptation par cible, elle l'a rendue beaucoup plus rapide cependant. Un chercheur isolé peut faire en une semaine ce qui aurait pris des mois à une équipe de classe mondiale.

PHP est désormais dans l’œil du cyclone avec un intérêt de la communauté cyber renouvelé sur ses faiblesses structurelles.

Ce que je retiens, côté défense : patchez maintenant (8.5.12, 8.4.27, 8.3.36, 8.2.35), c'est la seule remédiation complète. Et arrêtez de raisonner "exploit public = début du risque". La fenêtre entre lire un write-up et avoir un exploit fonctionnel se raccourcit, et le RL est en train de l'accélérer.

Les prochaines semaines vont être intéressantes.

En illustration, le PoC de Wiz, qui fonctionne lui !

Sources LinkedIn

• Conversation LinkedIn : voir la publication
• Profil : Pierre Jean Duvivier dit Sage (LinkedIn)
• Auteur partagé : François Baligant (LinkedIn)