Des chercheurs de Calif et de Wiz, filiale de Google, ont identifié deux vulnérabilités critiques dans PHP, le langage web à l’origine d’environ 70 % des sites web, à l’aide d’une combinaison d’outils d’IA avancés. Ces failles, présentes dans la base de code de PHP depuis des années, pourraient permettre à un attaquant non authentifié d’exécuter du code sur un serveur et d’accéder à des fichiers ou à des bases de données.¹

Cette découverte a d’abord été présentée comme un exemple où l’IA a détecté la faille avant les attaquants. OpenAI a déclaré que des modèles de pointe avaient trouvé les failles avant les attaquants et aidé les chercheurs à valider les correctifs. L’entreprise a toutefois averti que cette même capacité pourrait aider des attaquants à créer rapidement des outils offensifs — une tension au cœur de la réponse.²

Mardi, cette réponse était déjà mise à rude épreuve. Selon des informations publiées, une vidéo de preuve de concept démontrant une chaîne d’exploitation a été brièvement mise en ligne, accélérant d’un jour la publication prévue des correctifs par la PHP Foundation. Mercredi, les correctifs sont arrivés et la NSA a demandé aux organisations utilisant PHP de procéder immédiatement à la mise à jour ou de mettre hors ligne les systèmes concernés.³

Cet avertissement a provoqué des interruptions de service, des gouvernements et d’autres opérateurs en Europe et aux États-Unis ayant temporairement fermé des sites pour appliquer les correctifs. La Première ministre japonaise, Sanae Takaichi, a appelé à agir ce soir-là et déclaré que la suspension des sites web pouvait réduire les risques lorsqu’une correction rapide n’était pas possible.⁴

Le différend le plus important porte sur la question de savoir si la course est déjà perdue dans certains cas. Amazon a déclaré avoir détecté une tentative d’exploitation quatre jours avant la divulgation publique et que les failles étaient « désormais largement exploitées dans la nature ». ⁵ La PHP Foundation a toutefois affirmé n’avoir constaté aucune preuve d’exploits fonctionnels — seulement du code généré incomplet ou non fonctionnel.³

Alors que les entreprises s’empressent d’agir, des outils commerciaux entrent également en jeu : Aravind Srinivas a déclaré que les utilisateurs pourraient recevoir des crédits pour vérifier l’exposition des systèmes PHP et des configurations de déploiement GitHub.Aravind Srinivas (AravSrinivas)⁶ La tâche immédiate est banale mais immense : appliquer rapidement les correctifs, ou s’éteindre.