OpenAI propose cinq étapes face à deux failles PHP

Dans une annonce datée du 21 octobre 2026, OpenAI a présenté Patch the Planet, une proposition en cinq étapes pour coordonner la réponse aux vulnérabilités critiques. L’archive de PHP indique que deux failles corrigées dans des versions publiées le même jour peuvent permettre une exécution de code à distance sans authentification. Elle précise aussi que la mise à jour est la seule correction complète.

Deux failles aux mécanismes distincts

PHP identifie CVE-2026-109618 comme un défaut lié à l’épuisement de mémoire. Une requête peut être interrompue alors que des données internes sont encore partiellement initialisées. Au moment du nettoyage, ces données peuvent être traitées comme valides.

CVE-2026-109619 concerne un état interne associé à une requête qui reste accessible après la libération de la mémoire correspondante. Une requête suivante, exécutée par le même worker, peut réutiliser cet état avant sa réinitialisation. Selon PHP, les deux failles peuvent permettre à un attaquant non authentifié d’exécuter du code à distance.

PHP indique que les installations qui traitent des requêtes web sont potentiellement concernées, notamment celles utilisant PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Parmi ces configurations, PHP désigne mod_php comme la plus risquée.

Les versions de PHP corrigées

L’archive officielle de PHP recense les versions corrigées suivantes. NeoTeo a déjà détaillé les versions qui corrigent ces deux failles.

PHP 8.1 et les branches antérieures ne reçoivent plus directement de correctifs du projet. PHP mentionne des rétroportages minimaux du code source pour les branches 7.4, 8.0 et 8.1. Pour une ancienne branche, le projet conseille de se renseigner auprès de sa distribution ou de son fournisseur de maintenance à long terme.

PHP précise que les mesures temporaires peuvent réduire l’exposition à certaines voies d’attaque, mais ne rendent pas une installation sûre. La mise à jour vers une version corrigée reste la seule solution complète. L’archive de sécurité de PHP recense les versions concernées.

Les cinq étapes proposées par OpenAI

OpenAI présente son cadre comme une proposition pour les failles critiques touchant des logiciels largement utilisés :

1. Valider la vulnérabilité avec le projet concerné, préparer un correctif et le tester, y compris face à des tentatives de contournement.
2. Laisser aux organisations concernées le temps de se préparer avant la divulgation.
3. Coordonner la réponse avec des partenaires gouvernementaux afin de contribuer à la protection des systèmes critiques.
4. Préparer les mises à jour pour les produits et services concernés.
5. Publier des recommandations et accompagner le déploiement des correctifs.

OpenAI indique que les responsables du projet choisissent les organisations à associer avant la divulgation. Selon l’entreprise, le calendrier peut être réévalué si une exploitation est en cours, si des détails fuitent, si un correctif public révèle la faille ou si un délai supplémentaire accroît le risque pour les utilisateurs.

Les découvertes selon OpenAI

Dans son annonce, OpenAI attribue à Calif la découverte d’une des failles avec GPT-5.6 Sol. L’entreprise affirme aussi que Wiz a découvert et signalé indépendamment les deux vulnérabilités. Elle indique que les mainteneurs de PHP ont dirigé les corrections et leur publication, tandis que des partenaires, dont Wiz et Cloudflare, ont contribué à la recherche et à la coordination. OpenAI date ces travaux des deux mois précédant son annonce du 21 octobre.

OpenAI a également annoncé un engagement de 1 milliard de dollars destiné à subventionner l’accès à Daybreak pour les organisations qui protègent des services essentiels et disposent de ressources de sécurité limitées, par l’intermédiaire du programme Daybreak for Frontline Defenders.