Auteur Sujet: PHP - CVE-2026-109618 / CVE-2026-109619 (Lu 1181 fois)

rooot · « **Réponse #24 le:** **Aujourd'hui** à 11:32:12 »

https://www.generation-nt.com/actualites/php-faille-securite-php2shell-ia-cybersecurite-2083236

peut-on encore dire "qu'un chercheur en cybersécurité" est a l'origine de la découverte d'une faille, étant donné qu'ils utilisent tous des IA pour trouver des failles maintenant...au mieux il a rédigé un prompt, qu'il exécutera a chaque nouvelle version du modèle LLM qu'il utilise.

Citer

La découverte de PHP2Shell est le fruit du travail de plusieurs chercheurs en sécurité, notamment de Calif et Wiz, qui ont utilisé des modèles d'IA comme GPT-5.6 Sol d'OpenAI et Gemini 4 Argon de Google.

vivien · « **Réponse #25 le:** **Aujourd'hui** à 13:43:43 »

Trouver des failles avec des LLM n'est pas trivial.

Il faut orienter le LLM sur des pistes.

Les développeurs de Firefox quand il a eu accès à Claude Mythos n'ont pas réussi à lui faire trouver des failles avec une analyse du code de Firefox sans instructions spécifiques.

Les failles dans Firefox ont été trouvées quand les développeurs ont demandé de tester des contextes particuliers, qu'ils connaissaient comme étant à risque.

Bref, à priori, il faut encore des experts en sécurité pour aider le LLM à trouver des failles.

vivien · « **Réponse #26 le:** **Aujourd'hui** à 14:14:55 »

PHP a tué livre.g6.asso.fr

Le serveur livre.g6.asso.fr (un livre de référence sur IPv6) à a été débranché suite aux alertes liées à PHP, la pile logicielle sous-jacente ne pouvant pas migrer vers une version à jour.

Une version plus moderne le remplace : https://mooc.g6.asso.fr/ (tous les contenus ne sont pas encore dessus).

À terme, l’ensemble des vidéos du MOOC IPv6 sera intégré sur ces pages, ainsi que les quiz et les supports d’activités pratiques du MOOC IPv6. Donc encore plein de contenus à venir sur ce site.

Hugues · « **Réponse #27 le:** **Aujourd'hui** à 15:24:28 »

Citation de: rooot le Aujourd'hui à 11:32:12

peut-on encore dire "qu'un chercheur en cybersécurité" est a l'origine de la découverte d'une faille, étant donné qu'ils utilisent tous des IA pour trouver des failles maintenant...au mieux il a rédigé un prompt, qu'il exécutera a chaque nouvelle version du modèle LLM qu'il utilise.

Bah jsp je te laisse prompter ton LLM pour trouver des failles, ça a l'air facile ? y'a plein d'argent à te faire en plus

rooot · « **Réponse #28 le:** **Aujourd'hui** à 16:10:08 »

Parce que tu crois qu'ils ont fait quoi d'autre ces sois disant chercheurs ? j'ai pris un raccourcis pour décrire mon propos en une seule ligne mais en vulgarisant je pense que c'est bien ça, sauf que eux ils n'utilisent pas la version gratuite de claude, ni celle a 20 balles.

rooot · « **Réponse #29 le:** **Aujourd'hui** à 16:15:42 »

Citation de: vivien le Aujourd'hui à 13:43:43

Trouver des failles avec des LLM n'est pas trivial.

Il faut orienter le LLM sur des pistes.

Les développeurs de Firefox quand il a eu accès à Claude Mythos n'ont pas réussi à lui faire trouver des failles avec une analyse du code de Firefox sans instructions spécifiques.

Les failles dans Firefox ont été trouvées quand les développeurs ont demandé de tester des contextes particuliers, qu'ils connaissaient comme étant à risque.

Bref, à priori, il faut encore des experts en sécurité pour aider le LLM à trouver des failles.

je ne dis pas le contraire, mais tout cela se fait quand meme a coup de prompt. c'est pas le chercheur qui lit et analyse chaque ligne de code. je me doute bien que le prompt ne va pas faire 2 lignes...

Hugues · « **Réponse #30 le:** **Aujourd'hui** à 16:29:46 »

Parce que tu crois qu'avant l'IA ils analysaient chaque ligne de code a la main ?

rooot · « **Réponse #31 le:** **Aujourd'hui** à 16:30:49 »

Citation de: Hugues le Aujourd'hui à 16:29:46

Parce que tu crois qu'avant l'IA ils analysaient chaque ligne de code a la main ?

non pourquoi ? j'ai dit ça quelque part ? je ne vois pas trop là ou tu veux en venir

Hugues · « **Réponse #32 le:** **Aujourd'hui** à 16:34:40 »

Là où je veux en venir c'est qu'un LLM c'est un outil qui peut faire des choses à ta place, mais il ne va pas deviner et réfléchir à ta place.
Je ne pense pas qu'utiliser un LLM rende un chercheur en cybersécu moins légitime, je pense qu'il le rend plus performant

rooot · « **Réponse #33 le:** **Aujourd'hui** à 16:50:38 »

Tu as raison, mais moi je vois plus un côté nuancé. si on devait répartir en % celui qui a le plus bossé dans l'histoire, j'attribuerais un % plus élevé a l'IA.

Hugues · « **Réponse #34 le:** **Aujourd'hui** à 16:56:28 »

je sais pas, c'est la pelleteuse ou le mec dans la pelleteuse qui creuse le trou ? Quand tu fais une recherche sur internet, c'est toi qui cherches ou c'est google ?
Un LLM c'est une suite de formules mathématiques sans aucune capacité cognitive, faut quand même s'en rappeler, c'est pas comme si tu demandais a quelqu'un d'autre de faire le job à ta place.

acut3 · « **Réponse #35 le:** **Aujourd'hui** à 17:12:07 »

Pour être dans le milieu (je fais du bug bounty et j'en vis), même si je n'utilise personnellement pas vraiment l'IA, je vois passez des témoignages de personnes qui l’utilisent massivement (et d'ailleurs c'est la cas ce la quasi totalité des hunters). Vous n'avez pas idée ce dont les IA sont capables, que ce soit sur de l'audit de code ou du web en black box. Et même seules, avec un prompt basique, elles sont désormais capables de trouver des chaînes de bug absolument dingues, et de coder le PoC qui va avec.

Evidemment une IA supervisée par un expert restera toujours plus efficace. Mais trouver des vulns de malade, aujourd'hui, c'est aussi possible pour quelqu'un sans background particulier en sécurité, avec un peu de chance et un bon budget.