L’alerte a commencé en août, lorsque des chercheurs en sécurité ont utilisé des outils d’IA avancés pour sonder d’anciennes infrastructures web. Chez Wiz, un agent d’IA n’est pas parvenu à adapter une faiblesse de WordPress à Drupal — mais a mis au jour à la place une faille distincte dans PHP. Le chercheur Sagi Tzadik a d’abord supposé que le modèle se trompait : « Les modèles ont tendance à halluciner. » L’exploit a néanmoins fonctionné, révélant une faiblesse restée indétectée pendant plus d’une décennie.¹

Cette découverte comportait une réserve importante au milieu des affirmations d’une percée due uniquement à l’IA : les chercheurs humains de Wiz et Calif devaient toujours vérifier, comprendre et signaler de manière responsable les vulnérabilités. Un groupe d’environ 15 personnes a ensuite travaillé entre des entreprises concurrentes et le projet PHP pour retracer les failles et préparer un correctif — un effort que Tomer Schwartz de Wiz a décrit comme étant « simplement fondé sur la confiance ». ¹

Le processus coordonné a commencé à s’effriter avant la publication prévue. Des détails ont circulé en ligne, et le PDG de Chainguard, Dan Lorenc, a divulgué des informations de manière anticipée, affirmant qu’il pensait que la faille était déjà exploitée ; la PHP Foundation a déclaré que cette initiative avait rompu l’embargo et ignoré des semaines de coordination.²

Mercredi et jeudi, les conséquences étaient visibles d’Helsinki à New York. Des gouvernements et des entreprises ont temporairement mis des services hors ligne tout en appliquant le correctif de la PHP Foundation. Cloudflare a déclaré avoir observé des milliers de tentatives d’exploitation avant la divulgation publique, puis des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures et finalement des millions.³

Pour les défenseurs, cet épisode a été à la fois une quasi-catastrophe évitée et une nouvelle réalité opérationnelle. Un expert en cybersécurité a averti que l’IA peut permettre même à des attaquants peu qualifiés d’exploiter des failles critiques en quelques minutes, rendant « brisée » la séquence traditionnelle consistant à évaluer l’exposition, attribuer les mesures correctives et appliquer les correctifs.⁴ La réponse pratique reste résolument peu glamour : identifier les systèmes dépendants de PHP, les analyser et les mettre à jour immédiatement — plutôt que de supposer que chaque site vulnérable doit être mis hors ligne.

Les entreprises d’IA et les fabricants d’outils transforment déjà cette alerte en automatisation défensive. Aravind Srinivas a déclaré que son entreprise proposait des crédits pour des vérifications de vulnérabilités PHP, y compris un outil conçu pour prioriser les correctifs.Aravind Srinivas (AravSrinivas)⁵ Mais la tension centrale demeure : l’IA peut permettre aux gentils de trouver les vulnérabilités plus vite, tout en garantissant que, dès qu’un secret s’échappe, les méchants puissent courir tout aussi vite.