Dans un article publié le 23 octobre 2026, Forbes rapporte que GPT-5.6 Sol a aidé des chercheurs à repérer des failles graves dans PHP, dans le cadre de Patch the Planet, une initiative menée par OpenAI. Selon le média, OpenAI et ses collaborateurs ont consacré plus de deux mois à valider les découvertes et les correctifs avant leur divulgation. Le projet PHP avait publié le 21 octobre PHP 8.5.12, qui corrige CVE-2026-109618 et CVE-2026-109619, deux failles pouvant permettre une exécution de code à distance sans authentification.
GPT-5.6 Sol a contribué aux recherches sur PHP
Forbes attribue à GPT-5.6 Sol un rôle dans la découverte des vulnérabilités, au sein de Patch the Planet, qui réunit des chercheurs internes et externes. La validation des failles et des correctifs a pris plus de deux mois, selon l’article. Cette étape a précédé la divulgation publique et le correctif du projet PHP.
Daybreak encadre l’accès aux modèles de cybersécurité
Le centre d’aide d’OpenAI précise que Daybreak ne supprime pas les protections ni les règles d’utilisation. Blue réduit les refus sur certains modèles généralistes pour des travaux défensifs vérifiés. Red permet l’accès à certains modèles spécialisés en cybersécurité, sous des contrôles plus stricts.
| Niveau | Accès aux modèles | Conditions d’accès |
| Blue | Moins de refus sur des modèles généralistes pris en charge pour le travail défensif vérifié. Astra conserve ses protections standard. Blue ne donne pas accès aux modèles spécialisés en cybersécurité. | Approbation préalable et travail défensif autorisé. |
| Red | Accès à certains modèles spécialisés, dont GPT-5.5-Cyber, et moins de refus sur certains modèles pris en charge. | Approbation distincte et vérifications renforcées. Certains modèles exigent une approbation supplémentaire. |
Dans les deux niveaux, OpenAI réserve l’accès aux systèmes que l’utilisateur possède, exploite ou est explicitement autorisé à tester ou analyser. Le programme ne peut pas servir à des clients externes ni à des flux de travail destinés à des tiers. Les règles de Daybreak publiées par OpenAI détaillent aussi les protections qui restent en vigueur.
PHP 8.5.12 corrige les deux vulnérabilités nommées
L’avis du projet PHP présente PHP 8.5.12 comme une version de sécurité qui corrige CVE-2026-109618 et CVE-2026-109619. Le projet recommande aux utilisateurs de PHP 8.5 de passer à cette version et indique que la mise à jour est la seule option sûre. NeoTeo a déjà consacré un article aux correctifs PHP associés à ces deux CVE.
AWS a observé une tentative avant la divulgation publique
Amazon Threat Intelligence a daté du 17 octobre une tentative d’exploitation de PHP2Shell repérée dans la télémétrie de MadPot. La divulgation publique des deux vulnérabilités a eu lieu le 21 octobre à 14 h UTC. AWS indique que l’origine des informations utilisées par l’acteur reste incertaine et que la réussite des tentatives sur des systèmes réels n’est pas établie. Le compte rendu d’AWS décrit aussi d’autres tentatives observées le jour de la divulgation.
La correction et la revue restent des étapes humaines
Forbes rapporte que 1 316 des 1 995 vulnérabilités relevées par Patch the Planet attendaient un correctif. Le média cite également un audit de Trail of Bits portant sur 130 correctifs écrits par IA et déployés : 16 présentaient des problèmes fonctionnels, et un problème de performance a aussi été relevé. Forbes indique que leur revue a demandé un effort humain important. La découverte assistée par IA n’a donc pas supprimé le travail de validation et de correction.
