Patch the Planet : IA et coordination contre des failles PHP

L'initiative Patch the Planet a coordonné au cours des deux derniers mois une coalition de mainteneurs, de chercheurs et de prestataires de sécurité pour corriger des vulnérabilités critiques dans PHP, langage open source très utilisé pour les sites web et applications. Selon le compte rendu, une faille majeure a été détectée par Calif à l'aide de GPT-5.6 Sol dans le cadre de Patch the Planet, tandis que Wiz a indépendamment découvert et signalé les deux failles. Les mainteneurs de PHP ont piloté les correctifs et la publication, avec l'appui de partenaires tels que Wiz, Cloudflare et d'autres organismes, qui ont fourni recherche, assistance technique et coordination avant la divulgation. En raison de la gravité des défauts et de l'adoption massive de PHP, l'affaire est considérée comme l'un des problèmes de sécurité les plus importants depuis plusieurs années. Elle montre que les modèles d'IA peuvent repérer des failles capables d'affecter une part considérable d'Internet, mais que ces mêmes capacités peuvent aider des attaquants à développer plus vite des outils offensifs. Les équipes estiment que l'IA de pointe a trouvé ces vulnérabilités avant les attaquants, ouvrant une fenêtre de défense pour préparer correctifs et protections avant l'annonce publique. Pour renforcer les défenses, un engagement d'un milliard de dollars a été annoncé en accès subventionné à Daybreak via le programme Daybreak for Frontline Defenders, destiné aux organisations aux ressources limitées qui protègent des services essentiels. L'article précise aussi d'investir dans les modèles, les outils et les partenariats, notamment via Codex for OSS et le soutien de projets comme la Rust Foundation. Ces efforts visent à aider les mainteneurs, souvent de petites équipes, à évaluer, corriger et tester des correctifs tout en maintenant leurs priorités propres. Dans le même temps, Patch the Planet présente une méthode proposée pour répondre aux vulnérabilités critiques des logiciels très utilisés. Elle s'organise en cinq étapes. D'abord, valider et corriger la faille en amont avec les mainteneurs, les chercheurs et des partenaires techniques clés, y compris par des tests adverses avec des modèles avancés pour chercher des contournements. Ensuite, laisser du temps aux organisations touchées pour préparer des protections, en adaptant le correctif à des versions anciennes, en testant des mesures d'atténuation chez les hébergeurs et en préparant des règles de détection ou de blocage. La troisième étape consiste à coordonner avec des partenaires gouvernementaux afin de protéger les systèmes critiques. Pour PHP, cette coordination a impliqué des responsables américains, dont l'Office of the National Cyber Director et la CISA, ainsi que des partenaires internationaux. La quatrième phase prépare les mises à jour dans tous les produits affectés en associant distributeurs, fournisseurs de services, équipes de réponse et opérateurs. Enfin, la cinquième phase publie des conseils et accompagne le déploiement, pour permettre aux utilisateurs d'évaluer leur exposition, d'installer la bonne mise à jour, d'appliquer des mesures temporaires si nécessaire et de vérifier que la correction est bien active. Le site Patch the Planet centralise les avis publics et les consignes pour identifier les systèmes exposés, retrouver les instructions officielles des mainteneurs et vérifier le bon fonctionnement du correctif. La guidance s'appuie aussi sur les recommandations de la CISA pour prioriser l'urgence selon l'exposition, l'exploitation active et les impacts potentiels, tout en rappelant les limites des protections provisoires. L'initiative appelle enfin la communauté de sécurité à améliorer ce cadre, en signalant les zones de friction, les délais inutiles ou les manques, afin de faire évoluer une réponse capable de suivre la progression rapide des capacités de l'IA.