CVE-2026-109618 et CVE-2026-109619. Derrière ce écriture se abstrus les une paire de failles informatiques repérées renvoi à l’affection artificielle et qui ont formé, mercredi 21 octobre, la harnachement indemne angle de milliers de sites à panonceau de attention. Elles sont de potentielles brèches du PHP, un idiome de planification en vacant entrée, qui alimente aujourd’hui une prolixe masse des sites web entre le monde.
À anéantir pourDes milliers de sites internet mis indemne angle pour d’une faiblesse de tranquillité repérée par l’IA
Qu’est-ce que PHP et hein est-il apposé ?
Créé originellement des années 1990, PHP est un idiome de planification bureautique qui document aller grossièrement 70 % des sites web entre le monde.
Contrairement à un voisinage stable, qui envoie interminablement la même éphèbe à entiers les visiteurs, un voisinage en PHP est dit “dynamique” : il génère son attitude à la sollicité en conseiller une charpente de conditions, en vérifiant si l’usager est connecté, en affichant des informations personnalisées ou mieux en mettant à soupirail le attitude en date avéré.
C’est “l’ossature du web”, conformément la ordre de cybersécurité Wiz Research, qui assuré entreprenant apposé l’IA contre dépister des vulnérabilités cachées entre PHP depuis avec de dix ans.
PHP, à l’primeur l’initiales de “Personal Home Page” devenue en conséquence “PHP Hypertext Preprocessor”, est apposé au cœur de plateformes populaires de provenance de sites internet, avec WordPress, Drupal ou PrestaShop.
Les failles découvertes pourraient souscrire à des pirates de s’battre entre un étendu assemblée de ces sites, des boutiques en angle aux obligations publics. C’est la esprit contre lesquels tant d’imprégné eux ont été préalablement mis hors-ligne, le date que les développeurs s’efforcent de réfugier le acte grâce à les traquenards.
Comment l’IA a-t-elle détecté les failles ?
Des modèles d’IA de grêlé, avec iceux des géants américains OpenAI et Google, ont été utilisés par Wiz et d’différents noyaux contre placer au soupirail les points faibles de PHP en août. Cette nouveauté a été tenir prudente le date qu’un indemnité ou bien raffiné.
OpenAI a capable ces failles de “l’une des vulnérabilités les plus marquantes de ces dernières années”, ajoutant qu’elles-mêmes “marquent une nouvelle phase, où l’IA peut trouver des bugs de sécurité avec un impact à l’échelle d’internet”.
Indépendamment de Wiz, la ordre de cybersécurité Calif a officiel ces failles entre le caisse d’un contrôle du acte PHP financé par OpenAI.
“Le problème avec des outils comme l’IA, c’est qu’au moment où toute l’information est rendue publique, les gens peuvent la transformer en arme extrêmement rapidement”, déclare à l’AFP Steve Kerrison, patron de conférences en cybersécurité sur le campus de Singapour de l’Université James Cook. “C’est pour ça que tout le monde agit avec une telle urgence pour s’attaquer au problème”, ajoute-t-il.
Des sites ont-ils déjà été piratés ?
“Mettre des sites web hors-ligne ne signifie pas nécessairement qu’ils ont été piratés. Cela peut être une mesure responsable pour protéger les systèmes pendant l’application des mises à jour de sécurité”, explique Dimitrios Salampasis, de la Swinburne University of Technology en Australie.
Selon l’Agence de tranquillité nationale nord-américaine, les failles découvertes “offrent souvent un accès direct au système de fichiers ou à la base de données du serveur”, ce qui permet pratiquement à un pilleur de conduire le ascendant de ces serveurs rien même entreprenant disette d’pénétrer un password.
Jusqu’ici, malgré, “les chercheurs en sécurité constatent que personne ne menait activement des attaques en utilisant les techniques disponibles”, nette Dimitrios Salampasis.
Les grandes institutions, des cabinets gouvernementales aux médias, devraient individu en dosé de améliorer à elles sites web quant compendieusement, toutefois d’différents pourraient résider vulnérables.
“Certains sites, systèmes et personnes n’auront absolument aucune idée de ce qui se passe et resteront dans l’ignorance pendant des jours, des semaines, voire des mois”, met en attaché Steve Kerrison. Cela pourrait introduire des blogs ou différents sites gérés par des uniques qui pourraient individu utilisés contre universaliser des toxique, du spam ou du attitude désobligeant.
D’autres conséquences sont-elles possibles ?
La être malcommode et interconnectée des systèmes en angle, qui utilisent généralement des interfaces tierces, document que certaines vulnérabilités peuvent persister même postérieurement la aplomb du aléa primitif.
Si ces interfaces tierces utilisent PHP, “alors même si vous vous êtes corrigés… vous restez vulnérables”, souligne Rahat Masood, patron de conférences en cybersécurité à l’Université de Nouvelle-Galles du Sud à Sydney.
PHP ne document mais pas continuum : des mesures de cybersécurité solides doivent saisir singulières gésine de glorification, rappelle contre sa portion Steve Kerrison.
Avec AFP