La semaine dernière a été marquée par une succession de vulnérabilités logicielles graves et critiques, touchant des milliers de grands sites et semant la panique. Deux failles d'exécution de code à distance (RCE) dans PHP, baptisées PHP2Shell, ont été découvertes par des équipes de sécurité distinctes de Calif et de Wiz, qui ont toutes deux utilisé des modèles d'IA de pointe pour trouver les failles et construire des exploits fonctionnels. Selon les estimations, la faille pourrait affecter plus de 70 % d'internet, avec des milliers de sites touchés, dont la Fondation Wikimedia, DeviantArt, une grande partie du gouvernement britannique, les systèmes bancaires japonais et le site de The Traitors de la BBC.
L'une des failles, CVE-2026-109618, avait en fait été signalée lors d'un audit de sécurité de 2024 réalisé par la PHP Foundation, financée par la Sovereign Tech Agency. L'équipe l'avait mise de côté car elle avait des préoccupations plus importantes et n'arrivait pas à se mettre d'accord sur un correctif, estimant que personne ne pourrait construire un véritable exploit à partir de ce problème théorique. Les modèles d'IA ont changé ce calcul. Ils excellent à transformer une description vague de vulnérabilité en exploit complet, et des agents peuvent désormais analyser les différences de correctifs quelques instants après leur publication pour remonter jusqu'à la faille.
L'embargo s'est effondré lorsqu'un utilisateur nommé petecooper a publié un message sur les CVE sur Hacker News, apparemment sans savoir qu'un embargo existait. Le PHP Group a précipitamment avancé la publication du correctif du jeudi 22 au mercredi 21, mais la correction n'était toujours pas prévue avant un jour supplémentaire. Les scores CVSS divulgués de 10,0 étaient également inexacts, le score réel étant de 9,2. Au moment de la sortie du correctif, la faille était déjà exploitée dans la nature.
La PHP Foundation a imputé la responsabilité à Calif, qui aurait divulgué une vidéo de l'exploit, et à Chainguard, qui a publié les correctifs six heures avant la levée de l'embargo. La succession des événements est confuse, mais il semble que plusieurs défaillances liées aient permis aux attaquants d'atteindre les systèmes avant que les administrateurs ne puissent les corriger.
Source: Hacker News · Résumé par HeadlinesBriefing