CVE : cinq failles d’octobre accélérées par l’IA

Octobre a placé les outils d’intelligence artificielle au cœur de plusieurs divulgations de vulnérabilités. Des équipes de Wiz, OpenAI Codex Security et Anthropic ont contribué à identifier ou à exploiter en laboratoire des failles affectant PHP, Node.js, Linux, Windows et Chrome.

Les cinq dossiers retenus ici ne sont pas équivalents : certains sont déjà exploités, d’autres restent des démonstrations de laboratoire. Dans tous les cas, la priorité opérationnelle reste la même : inventorier les composants, appliquer les correctifs éditeurs et vérifier que les versions corrigées sont effectivement exécutées.

PHP2Shell : deux failles critiques dans le moteur PHP

Les CVE-2026-109618 et CVE-2026-109619 concernent le moteur PHP lui-même. Les recherches de Wiz, de Calif et d’OpenAI Codex Security ont mis en évidence des problèmes de gestion de la mémoire et d’état interne pouvant conduire à une divulgation de mémoire ou à une exécution de code à distance sans authentification.

Le risque ne dépend pas nécessairement d’une vulnérabilité présente dans WordPress, Drupal ou Joomla : un site exécutant une version vulnérable du runtime PHP peut être exposé. Les deux failles ont reçu un score CVSS de 9,2. La CISA les a ajoutées à son catalogue des vulnérabilités exploitées connues le 26 octobre.

Correctif et remédiation. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Il faut inventorier les runtimes PHP, mettre à jour les images et paquets, redémarrer Apache et PHP-FPM, puis vérifier la version réellement active. En attendant la mise à jour, PHP recommande de désactiver temporairement session.upload_progress.enabled dans les configurations concernées. Cette mesure ne remplace pas le correctif. Les administrateurs doivent aussi rechercher des workers PHP lançant des shells ou téléchargeant des outils.

Node.js : le décodeur Brotli peut corrompre la mémoire

La CVE-2026-111497 touche le décodeur Brotli intégré à Node.js. Une entrée compressée malformée peut provoquer une écriture hors limites dans un tampon interne. Selon la manière dont l’application traite les flux Brotli, la faille peut entraîner un crash, une divulgation de mémoire ou une exécution de code.

Le projet Node.js attribue le signalement à OpenAI Codex Security, avec Khai Tran et Sylvie Mayer. La vulnérabilité concerne les branches 22.x, 24.x et 26.x. Elle a été publiée dans la mise à jour de sécurité du 21 octobre et classée de gravité élevée par le projet.

Correctif et remédiation. Les versions corrigées sont Node.js 22.23.4, 24.22.1 et 26.12.1. Les équipes doivent identifier les services qui utilisent node:zlib ou acceptent des données Brotli non fiables, mettre à jour les runtimes et redémarrer les processus et conteneurs. Il est également prudent de limiter la taille des flux compressés, de surveiller les crashs et de vérifier les dépendances qui activent automatiquement la décompression HTTP.

Linux : une condition de concurrence dans le réseau TCP

La CVE-2026-98432 est une vulnérabilité use-after-free du sous-système réseau IPv4 du noyau Linux. Une condition de concurrence lors du traitement de demandes de connexion TCP peut conduire le noyau à réutiliser une zone mémoire déjà libérée.

Anthropic a indiqué qu’un modèle de recherche interne avait contribué à construire une chaîne d’exploitation en laboratoire pouvant aboutir à l’exécution de commandes avec les privilèges du noyau. Cette démonstration nécessite toutefois une configuration et une surface réseau compatibles. Le risque est particulièrement important pour les serveurs exposés, les hôtes cloud et les systèmes qui exécutent des charges non fiables.

Correctif et remédiation. Des correctifs ont été intégrés à plusieurs branches stables du noyau. Il faut installer le paquet corrigé fourni par la distribution, redémarrer sur ce noyau et contrôler la version active avec uname -r. Les hôtes de virtualisation et les serveurs exposés doivent être traités en priorité. Lorsque l’éditeur le recommande, une règle temporaire de filtrage réseau peut réduire l’exposition, mais elle ne dispense pas de mettre à jour le noyau.

Windows : déni de service via HTTP/3

La CVE-2026-33096 concerne une lecture hors limites dans l’implémentation QUIC de Windows HTTP.sys. Anthropic affirme que son modèle a identifié le chemin vulnérable par analyse binaire. Un serveur Windows qui accepte des requêtes HTTP/3 spécialement construites peut être forcé à planter et à redémarrer de manière répétée.

Le scénario documenté relève du déni de service, et non d’une exécution de code. Microsoft a publié le correctif dans ses mises à jour d’avril 2026. L’article d’Anthropic estime que la surface potentielle est importante, mais cette estimation ne doit pas être confondue avec une mesure d’exposition de chaque organisation.

Correctif et remédiation. Les administrateurs doivent vérifier l’installation de la mise à jour cumulative Microsoft correspondante sur les serveurs concernés et identifier les systèmes qui exposent HTTP/3 ou QUIC sur Internet. Lorsque HTTP/3 n’est pas nécessaire, sa désactivation temporaire peut réduire la surface d’attaque. Les équipes doivent enfin corréler les redémarrages, les crashs HTTP.sys et les changements de configuration réseau.

Chrome : une chaîne de failles jusqu’à la sortie de sandbox

Anthropic a présenté une chaîne d’exploitation construite avec un modèle interne contre Chrome. Elle combinait plusieurs faiblesses affectant notamment V8, le moteur de rendu, CacheStorage et FedCM, la fonction de connexion fédérée du navigateur. Selon l’équipe de recherche, la chaîne pouvait conduire à l’exécution de code hors de la sandbox après la visite d’une page malveillante.

Google a attribué 62 CVE aux signalements issus de cette campagne, toutes classées critiques ou élevées selon Anthropic, dont 13 liées à des sorties de sandbox. Il s’agit d’un ensemble de vulnérabilités et non d’une CVE unique ; le dossier doit donc être lu comme une démonstration de chaînage automatisé plutôt que comme une faille isolée.

Correctif et remédiation. Anthropic indique que les vulnérabilités étaient corrigées dans Chrome 156 au moment de sa publication. Les entreprises doivent forcer la mise à jour des navigateurs administrés, vérifier la version effectivement installée et contrôler les extensions. Les journaux EDR doivent être examinés pour repérer des processus enfants inhabituels lancés par Chrome, en particulier après la consultation de sites externes.

Ce que ces cinq dossiers changent pour les équipes de sécurité

Ces cas illustrent deux évolutions distinctes. D’une part, l’IA peut accélérer l’analyse de code, la recherche de variantes et la construction de chaînes d’exploitation. D’autre part, la découverte assistée par IA ne signifie pas automatiquement qu’une faille est exploitée dans la nature : PHP2Shell fait partie des cas confirmés, tandis que plusieurs démonstrations d’Anthropic sont restées des travaux de laboratoire.

La réponse opérationnelle ne change pas : disposer d’un inventaire précis, réduire les versions en fin de vie, suivre les bulletins des éditeurs, reconstruire les images applicatives et contrôler le redémarrage effectif des services. Pour les composants intégrés — PHP dans un CMS, Brotli dans Node.js ou noyau Linux dans une image cloud — la mise à jour doit porter sur la couche réellement exécutée, pas seulement sur le code applicatif.

Sources

• Wiz Research — PHP2Shell, 21 octobre 2026.
• PHP — archives des avis de sécurité 2026, octobre 2026.
• CISA — vulnérabilités PHP2Shell, 26 octobre 2026.
• Node.js — Security Releases du 21 octobre 2026.
• Anthropic — Discovering and exploiting vulnerabilities with Claude, 27 octobre 2026.
• Red Hat — CVE-2026-98432, 30 octobre 2026.
• CVE.org — CVE-2026-109618.
• CVE.org — CVE-2026-109619.
• CVE.org — CVE-2026-111497.
• CVE.org — CVE-2026-98432.
• CVE.org — CVE-2026-33096.
• Photo Pexels — serveur en centre de données.