La crise a commencé en août, lorsque des équipes de recherche distinctes chez Wiz et Calif, travaillant avec des modèles d’IA avancés, ont découvert des failles connexes enfouies dans le code central de PHP depuis plus d’une décennie. Les bogues pouvaient donner à une personne extérieure un contrôle de niveau commande sur un serveur web non corrigé — une perspective grave pour un langage qui, selon les estimations, sous-tend environ 70 % du web.¹

Pour les chercheurs, cela prouvait que l’IA peut renforcer le volet défensif. Le chercheur de Wiz Sagi Tzadik a déclaré que les agents peuvent condenser « des mois de recherche traditionnelle » en jours, voire en heures, même si des humains ont encore dû passer des jours à comprendre et à reproduire le bogue.¹ Les responsables de PHP, des entreprises de sécurité concurrentes et d’autres spécialistes ont ensuite passé des semaines à travailler à un correctif dans le cadre d’une divulgation coordonnée.

Ce processus ordonné s’est fracturé cette semaine. Des détails ont commencé à circuler avant la publication prévue, et la PHP Foundation a déclaré que Chainguard avait « unilatéralement rompu l’embargo », perturbant des semaines de coordination.² Le PDG de Chainguard, Dan Lorenc, a déclaré avoir agi parce qu’il pensait que l’exploitation était déjà en cours ; d’autres ont contesté cette évaluation. Le résultat a été le cauchemar que les défenseurs espéraient éviter : des indices publics, des correctifs incomplets et une liste de cibles qui s’allonge rapidement.

Cloudflare a enregistré des milliers de tentatives d’exploitation avant l’annonce, puis des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures et finalement des millions. Des gouvernements et des entreprises, de l’Europe à l’Asie, ont mis des services hors ligne pendant qu’ils appliquaient les mises à jour.³ Pour le responsable néerlandais de la cybersécurité Matthijs van Amelsfort, la prescription immédiate était brutalement simple : « corriger, corriger et corriger ». ²

Les autorités ont souligné que les tentatives ne constituent pas des compromissions confirmées, et que les visiteurs ordinaires n’ont pas besoin de corriger leurs téléphones simplement parce qu’ils naviguent sur un site PHP. Le risque urgent concerne les opérateurs de sites web : un serveur non corrigé pourrait exposer des données, être modifié ou devenir un point de départ pour des attaques ailleurs.⁴

La réponse est déjà en cours de transformation en produit. Aravind Srinivas a déclaré que des crédits Computer étaient proposés pour vérifier l’exposition des sites à PHP, un exemple de l’utilisation de l’IA pour le nettoyage autant que pour la découverte.Aravind Srinivas (AravSrinivas)⁵ Pourtant, l’avertissement plus profond demeure : OpenAI s’attend à ce que des découvertes similaires augmentent fortement, tandis que le responsable des correctifs PHP Ondřej Surý a qualifié cela de « catastrophe en attente » depuis longtemps.⁶