Failles critiques de PHP trouvées avec l’IA : vérifiez votre version

Ces failles dormaient depuis longtemps dans le code de PHP : Wiz évoque des décennies et remonte jusqu’à la version 5.4. Des modèles d’IA n’ont eu besoin que de quelques semaines pour les repérer et bâtir une attaque qui fonctionne. Voici si votre site est concerné, trois vérifications à faire aujourd’hui, et pourquoi la NSA conseille de mettre hors ligne ce qu’on ne peut pas mettre à jour.

Deux vulnérabilités dans PHP lui-même, notées 9,2 sur 10

Le 21 octobre 2026 à 16 heures, heure de Paris, le projet PHP publie les correctifs de deux failles critiques de PHP lui-même, notées 9,2 sur 10 selon l’échelle CVSS v4.0. Ni WordPress ni aucune application n’est en cause : le défaut touche le langage, pas le logiciel hébergé.

Tous les serveurs qui font tourner PHP pour servir des pages web sont concernés, avec un risque plus élevé pour le module mod_php d’Apache, précise l’annonce officielle. D’après Wiz, un attaquant peut aussi lire des mots de passe ou des clés d’API dans la mémoire du processus PHP.

Le CERT-FR, le centre gouvernemental français d’alerte, a publié son alerte le jour même. Sa liste englobe toutes les branches de PHP : les anciennes en entier, les récentes, 8.2 à 8.5, jusqu’à leur version corrigée.

Votre site est-il concerné ? Les réponses par situation

1. Trouvez votre version de PHP

   Dans l’administration WordPress, ouvrez Outils puis la santé du site, ses informations : la version figure dans la partie Serveur. Votre panneau d’hébergeur l’affiche souvent aussi.

2. Comparez avec les versions corrigées

   Les corrections du 21 octobre 2026 portent les numéros 8.5.12 pour PHP 8.5, 8.4.27 pour PHP 8.4, 8.3.36 pour PHP 8.3 et 8.2.35 pour PHP 8.2. Plus ancien ? Passez à l’étape suivante.

3. Écrivez à votre hébergeur

   Demandez la mise à jour vers une version corrigée dès que possible, et gardez la réponse : c’est la démarche que recommande WordPress.

Le chat gratuit de Yiaho peut vous aider à formuler ce message ou à retrouver le bon écran dans WordPress. Copiez par exemple cette demande.

PHP et le CERT-FR listent des réglages temporaires, qui ne rendent pas une installation sûre ; la mesure du CERT-FR ne couvre que l’une des deux failles.

De vieilles failles, trouvées en quelques semaines avec l’IA

1. 22 juin 2026

   OpenAI lance Patch the Planet, programme d’aide aux logiciels libres critiques.

2. 30 juillet 2026

   Calif, société de sécurité, rejoint le programme et vise PHP.

3. 11 août 2026

   Calif signale un premier bug à PHP.

4. 19 août 2026

   Wiz trouve de son côté une première faille, avec Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol.

5. 20 octobre 2026

   PHP annonce des correctifs pour le lendemain.

6. 21 octobre 2026, 16 heures, heure de Paris

   Les versions corrigées paraissent, les failles sont détaillées.

D’après OpenAI, l’IA découvre certes des failles de sécurité aux conséquences à l’échelle d’internet, mais les mêmes capacités aident aussi des attaquants à développer rapidement des outils offensifs. La même annonce attribue à Calif l’identification de la faille avec GPT-5.6 Sol, nom de modèle qui vient d’OpenAI ; Calif écrit n’avoir utilisé que des modèles accessibles à tous, sans dispositif particulier.

Dès le 7 août 2026, OpenAI écrivait ne pas pouvoir écarter des capacités critiques en cybersécurité pour Astra, avertissement repris dans notre article du 7 août. Le 1er septembre 2026, OpenAI confirmait qu’Astra franchissait ce seuil, comme le raconte notre article sur le seuil critique d’Astra. Gemini 4 Argon : Google l’a annoncé le 30 septembre 2026 comme destiné à des défenseurs en cybersécurité ; notre article dédié à Gemini 4 Argon le détaille.

Des attaques observées, des sites fermés par précaution

Selon The Verge, des agences gouvernementales néerlandaises et finlandaises ont fermé leurs sites par précaution. Selon CNN, qui cite Reuters, des sites gouvernementaux européens sont passés hors ligne le temps des corrections. Cloudflare dit avoir protégé par défaut ses clients au pare-feu applicatif dès le 21 octobre 2026 à 3 h 02 UTC, tout en leur conseillant de corriger PHP.

Questions fréquentes