L'équipe de développement du langage de programmation PHP a annoncé le lancement de mises à jour de sécurité d'urgence pour corriger deux vulnérabilités classées comme "critiques", ayant reçu une évaluation de gravité de 9,2 sur 10. Ces vulnérabilités permettent aux attaquants d'exécuter du code malveillant à distance sans nécessiter d'authentification, leur donnant ainsi la capacité de prendre le contrôle total des serveurs affectés.
Détails des vulnérabilités et versions affectées
Ces vulnérabilités affectent particulièrement les serveurs utilisant des configurations mod_php au sein des serveurs Apache. Les mises à jour traitant ces risques concernent les versions PHP suivantes : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L'équipe de développement exhorte tous les administrateurs système à mettre à jour leurs serveurs immédiatement.
Il a également été signalé que les versions de PHP 8.1 et antérieures ne bénéficient plus d'un support officiel, ce qui expose leurs utilisateurs aux risques ; il est donc conseillé de migrer vers les versions supportées ou d'obtenir des correctifs de sécurité auprès des fournisseurs de logiciels.
Rôle de l'intelligence artificielle dans la découverte
La société Wiz Research, spécialisée dans la cybersécurité, a révélé que la découverte de ces vulnérabilités complexes dans le code source de PHP a été réalisée avec l'aide de modèles d'intelligence artificielle avancés, nommément Gemini 4 Argon et GPT-5.6 Sol. Le modèle Gemini 4 Argon a joué un rôle central dans l'analyse du code et la vérification de la validité des correctifs de sécurité, soulignant l'importance de l'intelligence artificielle dans le renforcement de la sécurité de l'infrastructure des logiciels open source.
Pourquoi le traitement a-t-il été retardé ?
L'équipe de développement de PHP a reconnu l'existence d'une "défaillance structurelle" ayant retardé le traitement de l'une des vulnérabilités dont les premiers signes avaient été détectés en 2024. L'équipe a expliqué que le manque de ressources et les différends techniques avaient entravé la résolution à cette époque. Cependant, les revues de sécurité menées dans le cadre du programme "Patch the Planet" d'OpenAI en août et septembre derniers ont contribué à fournir des preuves concrètes sur la manière d'exploiter la vulnérabilité, ce qui a poussé l'équipe à accélérer le rythme de correction après la fuite d'informations concernant ces failles sur les réseaux sociaux.