Des chercheurs de Calif et de Wiz, propriété de Google, ont utilisé des modèles d’IA avancés pour découvrir deux vulnérabilités critiques dans PHP, le langage vieux de plusieurs décennies qui sous-tend WordPress, Drupal et, selon certaines estimations, environ 70 % des sites web. OpenAI a qualifié cette découverte de « l’un des problèmes de sécurité les plus importants de ces derniers temps », tout en reconnaissant la tension centrale : les mêmes capacités qui détectent des failles peuvent aider les attaquants à en faire des armes.¹

Le danger n’était pas entièrement théorique. Amazon a déclaré avoir détecté une tentative d’exploitation quatre jours avant la divulgation publique et a ensuite averti que les failles étaient « largement exploitées dans la nature ». La réponse de la NSA était sans détour : installez les mises à jour immédiatement — ou mettez les systèmes hors ligne jusqu’à ce qu’ils puissent être sécurisés.²

Mercredi, la PHP Foundation a publié des correctifs, déclenchant une course mondiale aux arrêts de service et aux mises à jour. Le Royaume-Uni a indiqué que 32 services gouvernementaux avaient été mis hors ligne par précaution ; des portails néerlandais d’identité numérique et de services publics ont été touchés ; et des sites en Allemagne, au Japon et en Finlande ont également été mis hors ligne. À Helsinki, le développeur Kalle Pusa a décrit l’impact humain de la panne : les services sont « tissés dans le tissu de notre société » et, pendant deux jours, « une grande partie du tissu a pour ainsi dire été déchirée ». ³

Pour les défenseurs, la priorité était la rapidité. Matthew Prince, PDG de Cloudflare, a déclaré que les tentatives d’exploitation observées étaient passées de milliers avant la divulgation à des millions après celle-ci, soulignant le peu de temps dont disposaient les administrateurs pour agir.³ Pourtant, Dataminr a rapporté que, jeudi après-midi, il avait observé des analyses, des opérations d’identification et des exploits non fonctionnels, mais « aucun compromis connu » — un rappel que les interruptions préventives visaient à éviter une catastrophe, et non à prouver que chaque service avait déjà été compromis.⁴

Les conséquences ont été inégales. Les grandes organisations pouvaient considérer une interruption comme un « contretemps », a déclaré Alistair Greaves, fournisseur britannique de services aux petites entreprises ; les petites entreprises, y compris la sienne, ont perdu des services pendant jusqu’à sept heures.³ Les déploiements PHP plus anciens et non pris en charge font face à un choix plus difficile : appliquer un correctif si possible, ou potentiellement disparaître.

La réponse est désormais automatisée elle aussi. Aravind Srinivas a déclaré que son entreprise proposait des crédits pour un outil permettant de vérifier l’exposition des sites PHP et des configurations de déploiement GitHub, et de prioriser les correctifs.Aravind Srinivas (AravSrinivas)⁵ Mais une analyse a formulé la leçon plus large de manière frappante : les défenseurs ont bénéficié cette fois d’une avance grâce à l’IA ; les futurs incidents pourraient laisser beaucoup moins de temps entre la découverte et l’attaque.⁶