Un nouvel article de Medium fournit les identifiants et les principales affirmations concernant deux vulnérabilités présumées de PHP. Il cite CVE-2026–109618 et CVE-2026–109619, avec une gravité annoncée de 9,2. Selon le texte, un attaquant sans authentification pourrait exécuter du code à distance, prendre le contrôle de serveurs, voler des données et s’en prendre aux visiteurs des sites. Les failles seraient restées invisibles pendant plus de dix ans, soit environ douze ans.

L’article rappelle que PHP fait fonctionner des millions de sites et associe WordPress à plus de 40 % du Web. Il attribue à Palo Alto Networks une estimation de 22,6 millions d’instances exposées. Nicholas Weaver aurait déclaré à Cybersecurity Dive que des exploitations sont déjà repérées dans la nature. Cisco est cité pour une autre estimation, selon laquelle près de la moitié des instances PHP accessibles depuis Internet utilisent des versions qui ne reçoivent plus de correctifs de sécurité.

Le texte affirme que la CISA et les agences de cybersécurité du Royaume-Uni, du Canada, de l’Australie et de l’Union européenne ont recommandé de mettre les sites concernés hors ligne avant leur mise à jour. Il cite les services publics en ligne de l’État finlandais, le site de l’agence nationale néerlandaise de cybersécurité et des sites de préfectures françaises parmi les systèmes désactivés. Wikimedia aurait également retiré certains systèmes du réseau, avec une interruption temporaire de l’accès à certaines parties de Wikipédia.

La NSA aurait averti que ces failles pouvaient fournir un accès direct au système de fichiers ou à la base de données d’un serveur. La Maison-Blanche aurait indiqué que les agences fédérales américaines évaluaient leur utilisation de PHP et que les autorités américaines avaient découvert le problème le 16 octobre. Le correctif devait sortir plus tard, selon l’article. Une fuite sur les réseaux sociaux mardi aurait poussé les développeurs de PHP à publier un correctif d’urgence un jour plus tôt.

L’article attribue la découverte à l’entreprise Wiz et à GPT-5.6 Sol d’OpenAI, dans le cadre du programme Patch the Planet. OpenAI aurait décrit la correction comme particulièrement complexe, avec une modification importante du moteur PHP. Le texte renvoie à un avis de sécurité et à une publication d’urgence de php.net, mais ne donne aucune version vulnérable ni version corrigée.

L’auteur présente cette affaire comme un tournant pour la sécurité défensive assistée par IA. Il prévient que des attaquants pourraient employer des outils comparables après la publication du correctif. Le texte s’interroge sur les compromissions possibles dans les 72 heures, sur la mise à niveau des installations anciennes et sur une éventuelle généralisation de Patch the Planet dans la sécurité des logiciels libres. Il cite Heartbleed et Log4j comme des précédents que ce type de programme pourrait aider à éviter, et prédit de fortes perturbations sur les systèmes anciens.

Les notes de l’article mentionnent la CISA, la NSA, des avis internationaux d’octobre 2026, la Maison-Blanche, OpenAI, Wiz, Palo Alto Networks, Cisco, Cloudflare, Cybersecurity Dive, The Wall Street Journal et php.net.