En août, des chercheurs de Calif, travaillant avec OpenAI, et Wiz de Google ont indépendamment utilisé des systèmes d’IA avancés pour découvrir des failles connexes dans PHP, le langage web qui, selon les estimations, sous-tend environ 70 % des sites web. Chez Wiz, un agent d’IA a découvert la faiblesse de PHP en testant si un problème WordPress pouvait affecter Drupal — une erreur apparente qui s’est avérée réelle. « Les modèles ont tendance à halluciner », a déclaré le chercheur Sagi Tzadik, mais celui-ci avait mis au jour un bogue qui avait survécu pendant plus d’une décennie.¹

Les équipes ont signalé les défauts et rejoint les mainteneurs de PHP dans un effort coordonné pour élaborer un correctif. Le travail a été exceptionnellement collaboratif : environ 15 chercheurs d’organisations concurrentes ont échangé leurs conclusions presque quotidiennement, a déclaré Tomer Schwartz de Wiz, dans un processus « fondé uniquement sur la confiance ».¹ Leur réussite portait aussi son propre avertissement : l’IA peut réduire des mois de recherche de vulnérabilités à quelques jours, voire quelques heures, offrant aux attaquants la même accélération une fois les détails rendus publics.

Cette pression est arrivée avant la publication prévue. Des informations sur les vulnérabilités se sont répandues en ligne, forçant les mainteneurs de PHP à avancer le correctif. Une vidéo de Calif démontrant par inadvertance l’exploitation a ensuite contribué à alimenter des activités d’imitation. Cloudflare a enregistré des milliers de tentatives d’exploitation avant la divulgation ; en 45 minutes, le nombre avait atteint des dizaines de milliers, puis des centaines de milliers en deux heures et finalement des millions.²

Mercredi et jeudi, des gouvernements et des entreprises, d’Helsinki à New York, ont mis des services hors ligne pendant l’application des mises à jour. La Grande-Bretagne a indiqué que 32 services gouvernementaux avaient été arrêtés par précaution, tandis qu’en Finlande, les perturbations ont touché les tâches quotidiennes. « On pourrait dire qu’une grande partie du tissu a été déchirée », a déclaré le développeur helsinkien Kalle Pusa à propos de la dépendance aux services publics en ligne.³

La réponse défensive est rapidement devenue commerciale et concrète : Aravind Srinivas, directeur général de Perplexity, a déclaré que son entreprise offrait des crédits pour des vérifications qui identifient les sites PHP exposés et hiérarchisent les réparations.Aravind Srinivas (AravSrinivas)⁴ Pourtant, les professionnels de la sécurité affirment que les seuls correctifs ne peuvent pas suivre le rythme. Un expert a averti que l’IA permet même à des attaquants peu qualifiés d’exploiter des failles majeures « en quelques minutes », brisant le cycle traditionnel de remédiation.⁵

La fracture est la plus marquée pour les petites organisations. L’ancien responsable américain de la cybersécurité Chris Krebs a exhorté les entreprises à analyser en continu, à appliquer rapidement les correctifs ou à mettre les systèmes hérités hors ligne ; les grandes entreprises peuvent disposer d’outils avancés, mais les petites entreprises peuvent avoir du mal à réagir.⁶ PHP2Shell a été contenu avant la catastrophe — mais il a rendu la prochaine course plus facile à imaginer.