La DGSSI classe au niveau critique les deux failles de PHP corrigées le 21 octobre
Un bulletin d'alerte de la DGSSI, l'organisme national de cybersécurité, publié le 21 octobre sous la référence 69782110/26, classe au niveau critique, en risque comme en impact, les deux vulnérabilités de PHP corrigées le même jour. Selon le bulletin, ces failles, désignées sous le nom « PHP2Shell », pourraient permettre à un attaquant distant d'exécuter du code arbitraire sur un serveur vulnérable, et un code d'exploitation est disponible. Les installations sous PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed sont concernées ; pour PHP 8.1 et les versions antérieures, qui ne sont plus supportées, la DGSSI recommande de migrer vers une version maintenue.
Pourquoi c'est important
Médias24 rapporte, d'après W3Techs, que 75,4 % des sites en « .ma » dont le langage serveur est identifiable utilisent PHP, en précisant que ce chiffre mesure l'usage du langage et non la part de sites vulnérables.
Source : DGSSI
PHP corrige deux failles critiques, dont l'une a été repérée avec GPT-5.6 Sol selon OpenAI
Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 de PHP, publiées le 21 octobre par le projet, corrigent deux vulnérabilités critiques permettant, sous certaines conditions, à un attaquant non authentifié d'exécuter du code sur les serveurs. La PHP Foundation indique que la sortie, prévue le 22 octobre, a été avancée d'un jour après une fuite des identifiants des failles. Selon sa chronologie, un chercheur de la société Calif a signalé le 11 août une exécution de code à distance dont la cause racine avait été entrevue dès 2024 ; OpenAI a signalé indépendamment la même cause racine, puis Wiz et OpenAI ont apporté d'autres vecteurs d'attaque. OpenAI affirme de son côté que Calif a identifié l'une des failles avec GPT-5.6 Sol, dans le cadre de l'initiative Patch the Planet d'OpenAI.
Pourquoi c'est important
Selon l'avis du projet PHP, il n'existe pas de mesure d'atténuation complète : la mise à jour est le seul choix sûr.
Source : PHP Foundation
Meta publie 64,6 milliards de dollars de chiffre d'affaires et approuve une classe d'actions sans droit de vote
Au trimestre clos le 30 septembre, dont Meta a publié les résultats le 21 octobre, le chiffre d'affaires atteint 64,6 milliards de dollars, en hausse de 26 % sur un an, et le résultat d'exploitation recule de 37 %, à 12,99 milliards, en intégrant une charge de 9,89 milliards liée à l'accord conclu avec 52 procureurs généraux américains sur la santé mentale des adolescents. Le groupe a resserré sa prévision d'investissements pour 2026 à 135-145 milliards de dollars, contre 130-145 milliards auparavant ; le trimestre en a absorbé 34,91 milliards. Son conseil d'administration a approuvé une nouvelle catégorie d'actions cotées sans droit de vote, dites de classe C, effective en janvier 2027, que Meta destine à la levée de capitaux, à la rémunération des employés, à d'éventuelles acquisitions et à d'autres besoins généraux. Selon TechCrunch, Meta a indiqué lors de sa conférence avec les analystes que son application d'IA Muse a été adoptée par plus de 10 millions d'utilisateurs.
Pourquoi c'est important
Le communiqué ne dit pas quelle part de ces investissements va à l'IA, et le chiffre de Muse n'y figure pas : il provient de la seule conférence avec les analystes.
Source : Meta
Google Cloud ouvre en préversion privée trois modèles d'OpenAI
Google Cloud a annoncé le 21 octobre le déploiement, en préversion privée pour une sélection de clients entreprise, de trois modèles d'OpenAI dans son Model Garden : GPT-6 Astra, destiné au code, à l'usage d'ordinateur, au travail professionnel et à la recherche scientifique, GPT-6.1 Sol, présenté comme proche d'Astra à moindre coût, et GPT-6 Luna, un modèle rapide et économique. Les clients retenus peuvent les utiliser par API ; la facturation passe par Google Cloud Marketplace et s'impute sur leurs engagements existants. Google se présente comme le seul hyperscaleur à proposer les trois principaux grands modèles de langage fermés. OpenAI, qui prévoit une disponibilité générale dans les prochaines semaines, précise que Microsoft reste son principal partenaire cloud.
Pourquoi c'est important
Pour les clients admis à la préversion, l'usage de ces modèles apparaît sur leur facture Google Cloud ; l'option de non-conservation des données n'est encore annoncée que comme « à venir ».
Source : Google Cloud
Anthropic ouvre sur liste d'attente Claude Duet, un agent qui travaille en arrière-plan
Anthropic a ouvert le 21 octobre une préversion de recherche de Claude Duet, accessible sur liste d'attente et d'abord réservée aux abonnés Pro et Max aux États-Unis. Conçue autour de Claude Opus 5.5 pour les professionnels et les propriétaires de petites entreprises, l'application, proposée sur iOS, Android et claude.ai, envoie chaque matin un court point sur les éléments importants des applications connectées, exécute les tâches demandées et continue de travailler en l'absence de l'utilisateur, grâce à une machine virtuelle dotée de son propre navigateur. Avant d'envoyer un message, d'effectuer un paiement, de signer un document ou de supprimer quoi que ce soit, Duet présente l'action et attend une validation ; certaines opérations, comme les transactions sur titres ou les virements entre comptes, lui sont interdites même avec accord. Anthropic reconnaît que cette première version peut encore mal lire un échange ou mal juger de l'urgence d'un sujet.
Pourquoi c'est important
Aucun calendrier n'est donné pour une ouverture hors des États-Unis ; selon 9to5Mac, les offres Team et Enterprise en sont aussi exclues pour l'instant.
Source : Anthropic