Les origines de l’urgence remontent à plusieurs années. L’un des problèmes sous-jacents avait été signalé à la PHP Foundation en 2024, mais aucun correctif n’avait suivi ; la fondation a ensuite qualifié cette lacune d’« échec structurel » de son processus de sécurité.¹ Les failles sont restées enfouies dans PHP, le langage Web utilisé par environ 70 % des sites, en partie parce que leur exploitation exigeait une chaîne inhabituellement complexe d’étapes techniques.

Cela a changé à la mi-août, lorsque des chercheurs californiens utilisant GPT-5.6 Sol d’OpenAI et une équipe distincte de Wiz utilisant des outils d’IA ont découvert deux vulnérabilités critiques, ensuite baptisées PHP2Shell. Ces bugs pouvaient permettre l’exécution de code à distance sans authentification — permettant en pratique à un intrus de prendre le contrôle d’un serveur, d’accéder à des données ou de modifier un site Web sans mot de passe. OpenAI a présenté le résultat comme la preuve que « l’IA de pointe a trouvé ces vulnérabilités avant les attaquants », tout en reconnaissant que les mêmes capacités peuvent produire rapidement des outils offensifs.²

L’avance protectrice s’est évaporée cette semaine. Une vidéo de démonstration a été publiée par erreur mardi, les détails se sont répandus en ligne, et PHP a avancé de jeudi à mercredi la publication prévue de son correctif. La NSA a exhorté les opérateurs à appliquer immédiatement le correctif ou à mettre les systèmes hors ligne ; des sites gouvernementaux en Europe, ainsi que des services allant de l’Internet Archive à d’anciens jeux, ont temporairement cessé de fonctionner. Amazon a déclaré avoir observé une tentative d’exploitation quatre jours avant la divulgation publique et averti que les failles étaient « largement exploitées dans la nature ». ³

C’est là toute la tension : l’IA a peut-être détecté le danger avant les criminels, mais elle rend aussi sa reproduction beaucoup plus rapide. Les chercheurs en sécurité affirment que l’ancien cycle de plusieurs semaines nécessaire au développement d’exploits s’est fortement raccourci ; les propriétaires de sites Web font désormais face à un choix brutal entre des mises à jour rapides et des interruptions de service. Pour les utilisateurs ordinaires, le risque immédiat est indirect — des services compromis peuvent exposer des identifiants et des données de paiement —, les experts recommandent donc des mots de passe uniques, l’authentification à deux facteurs et une vigilance à l’égard des avis de violation de données.⁴

Alors que la course aux correctifs se poursuivait, les entreprises d’IA ont également transformé l’incident en marché de remédiation. Aravind Srinivas a déclaré que Computer proposait des crédits pour vérifier l’exposition des sites PHP et des configurations de déploiement GitHub, soulignant comment l’analyse automatisée devient à la fois un élément de la réponse et de la menace.Aravind Srinivas (AravSrinivas)⁵