En août, des chercheurs de Calif et de Wiz, filiale de Google, ont utilisé des modèles d’IA avancés pour découvrir des failles connexes dans PHP, le langage vieux de plusieurs décennies qui, selon les estimations, sous-tend environ 70 % des sites web. Ces bogues pouvaient permettre l’exécution de code à distance sans authentification — donnant de fait à un attaquant le contrôle en ligne de commande d’un serveur non corrigé.¹

Pour les défenseurs, cette découverte a été une victoire de justesse. Le chercheur de Wiz Sagi Tzadik a d’abord douté de la découverte de l’IA parce que « les modèles ont tendance à halluciner », mais l’exploit fonctionnait. Il a soutenu que l’IA accélère la découverte de vulnérabilités : « des mois de recherche traditionnelle condensés, disons, en quelques jours ». ² Pourtant, cette même accélération a accru le danger une fois que les conclusions ont échappé au confinement.

À la mi-octobre, des détails ont commencé à circuler avant la publication prévue du correctif. Une vidéo de démonstration a été brièvement mise en ligne, la PHP Foundation a avancé sa publication, et des attaquants ont commencé à sonder les systèmes. Cloudflare a enregistré des milliers de tentatives avant la divulgation, puis des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures et, finalement, des millions.³

Cela a suscité une réponse préventive extraordinaire mercredi et jeudi. Des gouvernements et des entreprises, de la Finlande au Japon, ont mis des sites hors ligne pendant l’installation des correctifs ; la Grande-Bretagne a indiqué que 32 services publics étaient temporairement indisponibles. Pour les opérateurs de systèmes anciens, le choix était clair : appliquer immédiatement le correctif ou se déconnecter. Le responsable néerlandais de la cybersécurité, Matthijs van Amelsfort, a résumé le remède en trois mots : « corriger, corriger et corriger ». ⁴

Le risque pour le public était plus limité que ne le suggérait l’alerte : le simple fait de visiter un site PHP vulnérable n’infectait pas l’appareil d’un utilisateur. Mais un serveur compromis pouvait exposer des données, modifier des sites ou devenir un tremplin vers des réseaux plus étendus. Les premières évaluations ont révélé principalement des analyses et des exploits échoués, tandis qu’un repost ultérieur sur X, citant une activité de pots de miel, indiquait que l’exploitation avait été observée dans la nature, les attaquants exécutant des commandes shell pour récupérer des charges utiles.Aravind Srinivas (AravSrinivas)⁵

L’épisode n’a pas viré à la catastrophe à l’échelle du Web parce qu’un correctif était prêt. Il a aussi mis en lumière le nouveau déséquilibre de l’ère de l’IA : les défenseurs peuvent découvrir davantage de failles en premier, mais chaque fuite transforme la divulgation coordonnée en compte à rebours.