Faille PHP trouvée par l’IA : l’actu IA du 22 octobre 2026

Actualités · 22 octobre 2026

Une faille PHP critique, baptisée PHP2Shell, a été trouvée avec l'aide de l'IA et corrigée le 21 octobre : des sites publics européens, dont ceux du ministère français de l'Intérieur, ont été coupés par précaution. Google Cloud propose désormais les modèles d'OpenAI, et Dario Amodei défend le bilan sécurité d'Anthropic.

La faille PHP du 21 octobre domine l'actualité IA de ces dernières 48 heures. C'est l'une des premières failles de cette ampleur découvertes avec des modèles d'IA de pointe, et elle touche le langage qui fait tourner la majorité des sites web, dont WordPress. Voici les quatre actualités à retenir, avec leurs sources.

Faille PHP 2026 : ce qui s'est passé avec PHP2Shell

Ce qui s'est passé. L'équipe de PHP a publié le 21 octobre des correctifs d'urgence pour deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 (CVSS). Selon Wiz, elles regroupent quatre bugs et permettent, sans mot de passe, d'exécuter du code à distance sur un serveur. Wiz dit avoir démontré l'attaque sur les images récentes de WordPress, Drupal et Joomla, et indique que toutes les versions de PHP de la dernière décennie sont touchées par au moins une des failles.

• Qui les a trouvées : la start-up Calif, avec GPT-5.6 Sol d'OpenAI via le programme « Patch the Planet », et Wiz (filiale d'Alphabet), avec son outil Wiz Atlas, Gemini 4 Argon de Google et GPT-5.6 Sol. Les découvertes remontent à août 2026.
• Ce que dit OpenAI : « à notre connaissance, l'IA de pointe a trouvé ces vulnérabilités avant les attaquants ». L'entreprise met à disposition un vérificateur de version de PHP sous forme de compétence Codex.
• Exploitation : selon SecurityWeek, des détails ont fuité avant la publication coordonnée, et des entreprises de sécurité observent déjà des tentatives d'exploitation.
• Réactions : selon Reuters et Al Jazeera, la NSA a publié un avertissement public rare ; les Pays-Bas, le Danemark, la Finlande, la Belgique, l'Allemagne et la République tchèque ont coupé des sites ; en France, le ministère de l'Intérieur a mis ses sites en maintenance préventive. Automattic indique que WordPress.com et Tumblr ne sont pas concernés.

Pourquoi c'est important. PHP fait tourner environ 70 à 75 % des sites dont le langage est identifiable (W3Techs). C'est aussi un test grandeur nature du double usage de l'IA en cybersécurité : les mêmes modèles qui trouvent les failles pour les défenseurs peuvent aider les attaquants. Anthropic alertait déjà sur ce risque dans notre article sur les vers informatiques pilotés par IA.

Google Cloud ajoute les modèles d'OpenAI à Gemini et Claude

Ce qui s'est passé. Google Cloud a annoncé le 21 octobre l'arrivée de GPT-6 Astra, GPT-6.1 Sol et GPT-6 Luna dans son catalogue de modèles, en préversion privée pour certaines entreprises. Google se présente comme le seul grand cloud à proposer à la fois Gemini, Claude et GPT. La facturation passe par Google Cloud Marketplace et les données des clients ne servent pas à entraîner les modèles, selon Google.

Pourquoi c'est important. Les modèles d'OpenAI ont longtemps été réservés à Azure, le cloud de Microsoft. Pour les entreprises, le choix du modèle se sépare de plus en plus du choix du fournisseur cloud. Pour comparer ces modèles, voyez notre guide du meilleur agent IA pour coder.

Dario Amodei défend le bilan sécurité d'Anthropic

Ce qui s'est passé. Le mardi 20 octobre, le patron d'Anthropic a répondu sur X, en près de 2 000 mots, aux critiques de Nathan Calvin (association Encode). Il affirme qu'Anthropic a retardé l'accès élargi à ses modèles de classe Mythos pour renforcer leurs protections, et écrit : « nous avons probablement sacrifié une part importante d'une avance de plusieurs mois ». Il reconnaît des erreurs, notamment dans la communication sur un projet de loi. Selon The New Stack, Anthropic s'est engagée, d'ici au 15 janvier 2027, à proposer un cadre pour réguler le rythme de développement de l'IA ou à expliquer pourquoi elle ne le fait pas.

Pourquoi c'est important. Le débat sur le rythme de la course vers la super intelligence se déplace des laboratoires vers le Congrès américain, comme le montrait le projet de loi porté par Anthropic. Ce sont des déclarations d'entreprise, pas des engagements vérifiés de façon indépendante.

Élections américaines : l'IA finance la campagne

Ce qui s'est passé. Selon Fox News, Greg Brockman, président d'OpenAI, et son épouse ont donné 25 millions de dollars au groupe Leading the Future, actif dans au moins 48 courses au Congrès et favorable à une loi fédérale qui primerait sur les règles des États. OpenAI précise qu'il s'agit d'un don personnel. Anthropic a de son côté donné au moins 40 millions de dollars à un comité opposé à cette primauté fédérale.

Pourquoi c'est important. Les deux principaux laboratoires financent des camps opposés sur la régulation de l'IA à l'approche des élections de mi-mandat. Le contexte politique est détaillé dans notre article sur la Super Intelligence Force.

FAQ

Conclusion

La faille PHP du 21 octobre montre que les modèles d'IA de pointe trouvent désormais des failles à l'échelle d'Internet, et que les défenseurs n'ont qu'une courte avance. Pour comprendre ce que ces capacités annoncent, lisez notre guide super intelligence artificielle : définition simple, consultez la FAQ et retrouvez chaque jour l'actualité de la superintelligence.