Les problèmes ont commencé en août, lorsque des chercheurs de Calif et de Wiz, détenue par Google, ont séparément utilisé des systèmes d’IA pour sonder PHP, le langage vieux de plusieurs décennies qui sous-tend WordPress, Drupal et, selon certaines estimations, environ 70 % des sites web. Calif a utilisé GPT-5.6 Sol d’OpenAI ; Wiz a associé son agent Atlas à Gemini 4 Argon et GPT-5.6 Sol. Leur découverte : deux failles critiques, collectivement appelées PHP2Shell, qui pourraient permettre à un attaquant non authentifié d’exécuter du code sur un serveur vulnérable.¹

Les bugs étaient présents dans PHP depuis des années, en partie parce que la création d’un exploit exigeait autrefois une chaîne inhabituellement complexe d’étapes techniques. L’avertissement de Wiz était sans équivoque : l’IA peut désormais adapter un exploit à « différentes versions de PHP, configurations et dispositions de mémoire ». ² La divulgation coordonnée est ainsi devenue moins une mise à jour logicielle de routine qu’une course contre la montre.

Lorsque des détails ont fuité avant la publication prévue, la PHP Foundation a avancé la mise à disposition des correctifs à mercredi matin. Les gouvernements et les entreprises ont été invités à effectuer les mises à jour immédiatement ou à déconnecter leurs systèmes. La Première ministre japonaise, Sanae Takaichi, a appelé à agir d’urgence, affirmant qu’une suspension temporaire pouvait être un moyen efficace de réduire les risques lorsqu’un déploiement rapide des correctifs était impossible.³

Les fermetures se sont étendues des services publics finlandais et néerlandais aux sites gouvernementaux britanniques, tandis que les entreprises affrontaient les mêmes perturbations. Pour Kalle Pusa, à Helsinki, même l’organisation de l’enlèvement d’un vieux canapé a dû attendre : les services numériques essentiels, a-t-il déclaré, sont « tissés dans le tissu de notre société », et ce tissu avait été déchiré.⁴

Les attaquants ont agi rapidement. Cloudflare a enregistré des milliers de tentatives d’exploitation avant la divulgation, puis des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures et, finalement, des millions.⁴ Pourtant, la situation restait contestée : la PHP Foundation a déclaré n’avoir aucune preuve d’exploits fonctionnels, tandis que la télémétrie d’Amazon signalait une tentative d’exploitation de PHP2Shell avant le correctif.⁵

Pour les utilisateurs, la charge immédiate repose sur les opérateurs de sites — même si les spécialistes de la sécurité avertissent que des services compromis pourraient exposer des données personnelles. Une réponse pratique est déjà commercialisée : Aravind Srinivas a déclaré que Computer proposait des crédits pour vérifier les vulnérabilités PHP, au moyen d’un outil qui analyse les sites et les configurations de déploiement et priorise les correctifs.Aravind Srinivas (AravSrinivas)⁶