# L’IA a rendu exploitables d’anciennes failles de PHP

> Des chercheurs ont combiné des outils d’IA et leur expertise pour trouver des moyens concrets d’exploiter des failles de PHP. Des millions de tentatives ont suivi leur divulgation publique, mais aucune attaque réussie n’a été signalée.

Oossa · 2026-10-24 · https://oossa.com/fr/ai-helped-turn-old-php-bugs-into-usable-exploits

Selon une analyse de Cloudflare citée par WIRED, des millions de tentatives d’exploitation de nouvelles vulnérabilités de PHP ont été enregistrées dans les heures suivant leur divulgation publique. Regroupées sous le nom de PHP2Shell, ces failles ont poussé les équipes de sécurité et les administrateurs de sites web à déployer rapidement des correctifs.

À ce jour, aucune attaque de grande ampleur n’a été signalée. La PHP Foundation indique n’avoir constaté aucune exploitation réussie de ces failles, et de nombreux exploits qui circulent publiquement semblent inefficaces. WIRED ne précise pas les versions de PHP concernées ni les instructions pour installer les correctifs.

## L’IA a aidé les chercheurs à trouver une faille

Des chercheurs de l’entreprise de sécurité Calif ont été les premiers à repérer les vulnérabilités et à mettre au point des exploits, début août. Ils ont notamment utilisé des outils d’IA de pointe dans le cadre du programme Patch the Planet d’OpenAI. Leur travail s’est aussi appuyé sur leur expertise de PHP. Des chercheurs d’OpenAI et de Wiz, propriété de Google, ont ensuite découvert indépendamment des failles PHP2Shell à l’aide d’outils d’IA.

Certains problèmes sous-jacents avaient été repérés en 2024, mais étaient alors jugés trop difficiles à exploiter. Sagi Tzadik, chercheur chez Wiz, a déclaré que l’équipe PHP connaissait la vulnérabilité depuis des années, sans y remédier, car un attaquant humain ne pouvait pas l’exploiter. L’IA a rendu exploitable une faille jusque-là impraticable.

## Une pression accrue, pas du piratage automatique

Cet épisode montre que l’IA peut accélérer l’analyse et l’exploitation des vulnérabilités, ce qui accroît la pression sur les équipes de sécurité qui doivent déjà gérer un grand nombre de failles. WIRED relève que les mises à jour de sécurité de Microsoft comprenaient un nombre record de 1,453 vulnérabilités ce mois-là et que Bank of America a embauché 1,000 consultants pour corriger des failles détectées par Mythos, l’outil d’Anthropic.

Les chercheurs cités par WIRED mettent en garde contre l’idée que l’IA permettra de débusquer toutes les anciennes failles. Ryan Austin, chercheur chez Calif, a déclaré qu’aucun modèle ne peut trouver toutes les failles à l’aide de simples instructions ; d’autres experts ont souligné que la découverte concernant PHP nécessitait une équipe compétente. Un chercheur a également rappelé que PHP est largement exposé à Internet, ce qui en fait une cible inhabituelle et ne prouve pas que toutes les anciennes failles logicielles vont devenir exploitables.

## Les faits

- Selon l’analyse de Cloudflare citée par WIRED, des millions de tentatives d’exploitation de PHP2Shell ont eu lieu dans les heures suivant la divulgation publique des vulnérabilités.
- La PHP Foundation indique n’avoir constaté aucune exploitation réussie de ces failles.
- Les chercheurs de Calif ont été les premiers à repérer PHP2Shell et à créer des exploits, début août, en utilisant notamment des outils d’IA dans le cadre du programme Patch the Planet d’OpenAI.
- Certains problèmes sous-jacents de PHP avaient été repérés en 2024, mais étaient alors jugés trop complexes à exploiter.
- Selon WIRED, les mises à jour de sécurité de Microsoft comprenaient 1,453 vulnérabilités ce mois-là.

## Pourquoi c'est important

Pour les administrateurs de systèmes PHP, le récit de WIRED rappelle qu’il faut prendre au sérieux les failles divulguées publiquement : les tentatives ont commencé rapidement, même si aucune attaque réussie n’a été signalée. WIRED ne précisant ni les versions concernées ni les correctifs, les administrateurs devront consulter les recommandations officielles de PHP plutôt que de supposer que leurs systèmes sont exposés ou à l’abri.

## Sources et références

1. [The PHP Meltdown Shows How AI Makes Bugs More Exploitable](https://www.wired.com/story/kernel-panic-the-php-meltdown-shows-how-ai-makes-bugs-more-exploitable/) – Wired, 2026-10-24

Dernière mise à jour: 2026-10-24