Histoire
21 oct. 2026
L’IA a découvert la bombe à retardement de PHP — le Web s’empresse désormais de la corriger
Cette découverte offre aux défenseurs une rare victoire : l’IA a aidé à révéler un risque vieux de plusieurs décennies avant que les criminels ne le découvrent apparemment. Pourtant, ce même épisode confronte les équipes de sécurité, les gouvernements et les opérateurs de sites Web à une réalité plus dure — les machines pourraient bientôt trouver et militariser des failles plus rapidement qu’Internet ne peut les corriger.
L’alerte a commencé par une recherche de faiblesses dans PHP assistée par l’IA, ce langage open source intégré à une immense part du Web. OpenAI a déclaré qu’un chercheur de Calif avait utilisé GPT-5.6 Sol pour identifier les exploits critiques avant les attaquants, puis avait publié un outil destiné à aider les développeurs à identifier les versions vulnérables de PHP.1
Les enjeux sont devenus évidents lorsque les chercheurs ont décrit ce que ces failles pouvaient permettre : des attaquants pouvaient prendre le contrôle de serveurs Web vulnérables sans mot de passe, ouvrant la voie au vol de données, à l’altération de sites et à des perturbations plus larges. PHP est utilisé par près de 70 % des sites Web, tandis que les chercheurs de Wiz ont qualifié les découvertes de « parmi les vulnérabilités les plus graves découvertes dans PHP, et sans doute dans l’histoire des logiciels ». 2 Cette découverte a également ravivé une division de longue date dans la cybersécurité. OpenAI a présenté l’IA comme une force défensive capable de trouver des bugs que les humains avaient manqués ; les professionnels de la sécurité ont averti que cette même capacité peut réduire le délai entre la divulgation et l’exploitation.
Mercredi, ce danger théorique était devenu une crise opérationnelle. Des gouvernements et des organisations en Europe et aux États-Unis ont temporairement mis des sites Web hors ligne tout en déployant en urgence des mises à jour de sécurité.3 Les opérateurs de sites Web étaient confrontés à un choix difficile : accepter une interruption de service et appliquer immédiatement le correctif, ou rester en ligne tout en étant exposés à une faille susceptible de céder le contrôle de leurs systèmes.
La divulgation publique a ensuite déclenché des avertissements urgents de responsables du monde entier, y compris du premier ministre japonais, tandis que le directeur technique de Cloudflare, Dane Knecht, a déclaré que des « attaques précoces » émergeaient déjà et que les mesures d’atténuation étaient mises à jour à mesure que de nouveaux vecteurs apparaissaient.4 Pour les défenseurs, trouver le bug en premier constituait un avantage crucial. La course pour le contenir montre à quel point cet avantage peut être mince lorsque l’IA accélère les deux camps de la course à la sécurité.5