Deux failles PHP critiques révélées avec l’aide d’agents IA

Deux vulnérabilités critiques de PHP, langage utilisé par de nombreux sites et applications web, ont été rendues publiques le 21 octobre 2026. Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, elles peuvent permettre, dans certaines conditions, l’exécution de code à distance sans authentification. Leur gravité est évaluée à 9,2 sur 10 selon CVSS 4.0.

Cette alerte illustre le rôle croissant de l’intelligence artificielle dans la recherche de failles. Selon OpenAI, l’entreprise Calif a identifié une vulnérabilité avec l’aide de GPT-5.6 Sol dans le programme Patch the Planet. Wiz a également découvert et signalé indépendamment les deux problèmes. La PHP Foundation souligne toutefois que la validation des signalements et les décisions concernant les correctifs restent assurées par des spécialistes humains.

Des mises à jour sont disponibles pour les branches maintenues : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les administrateurs doivent vérifier les paquets fournis par leur hébergeur ou leur distribution. L’équipe PHP précise que les mesures temporaires ne constituent pas une protection complète : la mise à jour reste indispensable. L’accélération de la découverte par l’IA impose ainsi une coordination plus rapide entre chercheurs, développeurs et exploitants.

Sources :
Avis officiel PHP et versions corrigées, 21 octobre 2026
PHP Foundation : découverte et coordination des correctifs
OpenAI : bilan du programme Patch the Planet