À la mi-août, des chercheurs de l’entreprise d’IA Calif et de Wiz, propriété de Google, ont identifié deux graves failles dans PHP, le langage vieux de plusieurs décennies utilisé par environ 70 % des sites web dotés d’une programmation côté serveur connue. Ces bogues pouvaient permettre l’exécution de code à distance sans authentification — permettant en pratique à un intrus d’exécuter du code sur un serveur vulnérable. Calif a utilisé GPT-5.6 Sol d’OpenAI ; Wiz a utilisé une combinaison d’outils d’IA. ¹

Le danger ne venait pas seulement du fait que PHP était vulnérable, mais aussi du fait qu’une faiblesse qui aurait existé depuis environ deux décennies était devenue bien plus facile à exploiter comme arme. Wiz a déclaré que l’exploitation nécessitait auparavant une « chaîne d’étapes exceptionnellement complexe », proche des limites de ce que des chercheurs humains pouvaient accomplir. ² Des experts en sécurité estiment désormais que l’IA a réduit l’ancien délai entre la divulgation et l’attaque : le chercheur de Tolmo Matt Suiche a déclaré que son équipe avait créé un exploit fonctionnel en moins d’une journée, une tâche qui aurait auparavant pu prendre des semaines. ¹

Puis la course à la divulgation s’est accélérée. Des détails ont fuité en ligne avant la publication prévue, Calif a brièvement mis en ligne une vidéo de démonstration de faisabilité, et la PHP Foundation a avancé son correctif d’un jour. Amazon Threat Intelligence avait déjà observé une tentative d’exploitation plusieurs jours plus tôt ; Cloudflare a ensuite signalé que les attaques étaient passées de milliers avant la divulgation à des millions après celle-ci. ³

Mercredi et jeudi, la réponse défensive est devenue visible pour les utilisateurs ordinaires. Les gouvernements de Finlande, des Pays-Bas, de Grande-Bretagne, d’Allemagne et du Japon ont mis des services hors ligne ou exhorté les entreprises à le faire ; des entreprises et plateformes leur ont emboîté le pas pendant l’installation des correctifs. Pour les grandes institutions, un conseiller auprès de petites entreprises a qualifié la perturbation de « ralentissement » ; pour les plus petites entreprises, les interruptions ont duré jusqu’à sept heures. ⁴

Le consensus était de corriger d’abord, sans paniquer. La PHP Foundation a déclaré n’avoir aucune preuve d’exécution réussie de code à distance, tandis que Dataminr a signalé des analyses et des exploits non fonctionnels plutôt que des compromissions connues. ⁵ Pourtant, les sites anciens font face à un choix plus difficile : les versions non prises en charge de PHP peuvent ne pas disposer de correctifs officiels, ce qui risque d’entraîner leur disparition définitive. Au milieu de cette course contre la montre, Aravind Srinivas a fait la promotion de crédits gratuits pour une vérification automatisée de l’exposition à PHP — autre signe que l’IA devient un élément de la boîte à outils de réparation autant que du modèle de menace. Aravind Srinivas (AravSrinivas)⁶