Deux vulnérabilités graves au cœur de PHP ont été rendues publiques le 21 octobre 2026, en même temps que des versions corrigées et un récit inhabituel sur leur découverte. D'après OpenAI, la société de sécurité Calif a mis au jour l'une d'elles grâce à GPT-5.6 Sol, dans le cadre du programme Patch the Planet, tandis que Wiz a trouvé et signalé les deux de son côté. Pendant près de deux mois, OpenAI a fait travailler ensemble mainteneurs, chercheurs et hébergeurs pour que correctifs et protections soient prêts avant l'annonce.
Les failles portent les références CVE-2026-109618 et CVE-2026-109619. Selon l'avis du projet PHP, la première survient quand un manque de mémoire interrompt PHP alors que les données de la requête ne sont qu'à moitié construites : le nettoyage traite ensuite ces données corrompues comme valides. La seconde laisse survivre un état interne lié à la requête après la libération de sa mémoire, état qu'une requête suivante sur le même processus peut réutiliser. PHP évoque une exécution de code à distance sans authentification et juge mod_php le plus exposé, avec un exploit opérationnel déclenché avant tout code applicatif. Google Cloud attribue un score CVSS de 9,2 à chacune.
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; Google Cloud considère comme vulnérables toutes les éditions de la 5.4 à la 8.5.11. PHP 8.1 et les versions antérieures ne sont plus maintenues, mais l'équipe sécurité a tout de même diffusé des rétroportages minimaux pour 7.4, 8.0 et 8.1, et les distributions Linux ont reçu les correctifs en avance. L'avis propose des réglages temporaires, comme des plafonds de mémoire et d'envoi de fichiers, tout en rappelant que seule la mise à jour règle le problème. Reuters rapporte qu'une agence européenne a prévenu que certains sites pourraient devoir être mis hors ligne le temps des correctifs.
OpenAI qualifie l'affaire de l'un des incidents de sécurité les plus lourds de ces dernières années et s'en sert pour défendre une méthode en cinq temps : valider et corriger la faille en amont, avec des tests adverses menés par des modèles de pointe ; laisser aux organisations concernées le temps d'agir ; associer les pouvoirs publics ; préparer les mises à jour des produits ; puis publier des consignes. Pour PHP, l'entreprise dit avoir sollicité la Super Intelligence Force de la Maison Blanche, l'Office of the National Cyber Director et la CISA, aux côtés de partenaires comme Wiz et Cloudflare.
L'annonce s'accompagne de moyens. OpenAI affirme avoir engagé un milliard de dollars d'accès subventionné à Daybreak, son produit de sécurité, au profit d'organismes peu dotés qui protègent des services essentiels, et a publié un vérificateur de versions PHP sous forme de skill Codex. Elle ajuste aussi des classificateurs de blocage sur Daybreak pour limiter les abus, tout en reconnaissant que ces filtres peuvent gêner une recherche légitime.
Selon OpenAI, ces bogues ne sont qu'une partie des vulnérabilités sérieuses déjà identifiées, et ce type de découverte devrait se multiplier dans les prochains mois. L'entreprise sollicite l'avis des spécialistes sur la durée des fenêtres de divulgation, sur les acteurs à prévenir en priorité et sur l'opportunité, pour des États ou des opérateurs, de corriger des systèmes dont ils ont perdu le contrôle.
Plusieurs éléments reposent sur la seule version d'OpenAI. L'idée que l'IA a devancé les attaquants n'est avancée qu'en l'état des connaissances de l'entreprise, et la part respective du travail de Calif et de la recherche indépendante de Wiz n'est pas précisée. Le cadre de divulgation reste une proposition soumise à commentaires, et le milliard annoncé correspond à un accès subventionné, pas à des dons en numéraire.