Les deux failles critiques de PHP publiées le 21 octobre 2026 ont été découvertes indépendamment par plusieurs équipes de chercheurs, notamment Ryan Austin, de la société Calif, avec laide de l'IA GPT-5.6 Sol dOpenAI.
Voici la chronologie confirmée par la PHP Foundation :
2024 : un développeur du cœur de PHP identifie les premiers signes du problème lors dun audit réalisé par Quarkslab. Sa gravité réelle nest pas encore démontrée.
11 août 2026 : Ryan Austin, chercheur chez Calif, démontre une possibilité dexécution de code à distance. Il utilise GPT-5.6 Sol dans ses recherches.
11 août 2026 : OpenAI signale indépendamment la même cause fondamentale.
19–24 août 2026 : Wiz Research découvre et signale des vulnérabilités exploitables, avec l'aide de Gemini 4 Argon et GPT-5.6 Sol.
18 septembre 2026 : OpenAI communique des vecteurs d'attaque supplémentaires.
21 octobre 2026 : publication des correctifs pour les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619.
The PHP Foundation+3La PHP Foundation remercie explicitement Ryan Austin, Amy Burnett d'OpenAI Codex Security, Wiz, Quarkslab et OSTIF pour leurs contributions.
Le point particulièrement intéressant : le problème fondamental était connu depuis 2024, mais l'utilisation de modèles d'IA avancés a contribué à démontrer quil était réellement exploitable à distance.
Autrement dit, ce nest pas simplement une IA qui a découvert une nouvelle faille : l'#IA a aidé à transformer une faiblesse technique ancienne, considérée comme difficile à exploiter, en une attaque concrète.
Sources : PHP Foundation (communiqué officiel du 21 octobre), OpenAI et Wiz. The PHP Foundation+2
Sources LinkedIn
- Profil : Pierre Jean Duvivier dit Sage (LinkedIn)
Laisser un commentaire