Ondřej Surý, bénévole clé des correctifs PHP après deux failles graves
Le mainteneur des paquets PHP, employé à plein temps à l'Internet Systems Consortium, a aidé à automatiser la création des correctifs après la divulgation de deux failles critiques en octobre 2026.
Ondřej Surý, bénévole chargé de la maintenance des paquets PHP et directeur de l'ingénierie DNS au sein de l'association Internet Systems Consortium, a aidé à automatiser la création des correctifs des deux graves vulnérabilités PHP divulguées en octobre 2026, selon un entretien rapporté par gigazine.net. Il n'est pas employé par le projet PHP.
L'exploitation de ces failles pourrait permettre à un attaquant de prendre le contrôle total de serveurs, de dérober n'importe quelle donnée et de mettre des sites hors ligne. Le projet PHP avait connaissance des vulnérabilités avant leur publication, mais l'information a fuité sur un forum en ligne avant la sortie d'un correctif. Le projet a avancé de deux jours la publication prévue pour cette raison.
Après la divulgation, Cloudflare a indiqué que les tentatives d'exploitation étaient montées à plusieurs millions. Selon gigazine.net, Surý a déclaré travailler sur ce sujet depuis plus de 20 ans et que l'essentiel de son travail est automatisé. Il a précisé ne gérer personnellement aucun système PHP.
Un plan de secours et des dons
Surý a indiqué avoir discuté d'un plan de secours avec Raphaël Hertzog, de l'entreprise de logiciels Freexian. Il a aussi affirmé avoir reçu de nombreux petits dons et quelques dons importants depuis la veille.
En octobre 2026, deux failles graves ont été découvertes dans PHP, un langage de programmation utilisé par environ 70 % des sites web dans le monde, par des chercheurs en sécurité s'appuyant sur un modèle avancé d'OpenAI.
En bref
Qui est Ondřej Surý ?
Il est mainteneur bénévole des paquets PHP et directeur de l'ingénierie DNS à l'Internet Systems Consortium ; il n'est pas employé par le projet PHP.
Pourquoi le correctif PHP est-il sorti plus tôt que prévu ?
Parce que l'information sur les vulnérabilités a fuité sur un forum en ligne avant la sortie du correctif ; le projet a avancé sa publication de deux jours.
Quel impact ont eu les failles PHP ?
Leur exploitation pourrait donner à un attaquant le contrôle total de serveurs, le vol de données et la mise hors ligne de sites ; Cloudflare a signalé des millions de tentatives après la divulgation.