En août, des chercheurs de Calif ont utilisé un modèle avancé d’OpenAI pour mettre au jour une faille profonde dans PHP, le langage côté serveur qui ferait fonctionner environ 70 % des sites web. La vulnérabilité, ensuite baptisée PHP2Shell, pouvait permettre à un attaquant non authentifié d’exécuter des commandes sur un serveur web non corrigé — mettant en danger les données, les sites web et des réseaux plus larges.¹

La découverte a d’abord suivi la logique familière de la divulgation coordonnée : les chercheurs ont alerté la communauté PHP pendant qu’un correctif était préparé. Mais des informations ont commencé à circuler avant la publication prévue. La PHP Foundation a déclaré que Chainguard avait « unilatéralement rompu l’embargo », tandis que le dirigeant de Chainguard, Dan Lorenc, a soutenu qu’il avait agi parce que l’exploitation était déjà en cours — un différend qui a révélé la fragilité des décisions à prendre dans la divulgation moderne des vulnérabilités.²

Mercredi, le correctif était disponible, mais la panique aussi. Cloudflare a détecté des milliers de tentatives d’exploitation avant la divulgation publique ; en 45 minutes, leur nombre avait atteint des dizaines de milliers, puis des centaines de milliers en deux heures, et finalement des millions. Il s’agissait de tentatives, et non d’une preuve de compromission massive, mais cette rapidité a poussé gouvernements et entreprises à mettre des services hors ligne pendant les mises à jour.³ Une alerte republiée indiquait qu’une exploitation réussie avait été observée sur des serveurs leurres, les attaquants exécutant des commandes shell pour récupérer des charges utiles supplémentaires.Aravind Srinivas (AravSrinivas)⁴

Les perturbations ont été concrètes. Le Royaume-Uni a mis 32 services gouvernementaux hors ligne par précaution ; des sites web publics en Finlande, en Allemagne, au Japon et aux Pays-Bas ont également été touchés. Pour les grandes organisations, l’interruption pouvait n’être qu’un « ralentissement », a déclaré un fournisseur de services aux petites entreprises, mais certaines petites entreprises sont restées hors ligne jusqu’à sept heures.³

Les responsables de la sécurité voient dans cet incident davantage qu’une mauvaise semaine pour PHP. L’IA peut inspecter d’immenses bases de code et trouver des bogues que les humains ont manqués pendant des années, mais les mêmes capacités peuvent aider des attaquants moins qualifiés à passer de la divulgation à l’exploitation en quelques minutes. L’agence allemande de cybersécurité a qualifié la mise hors ligne des sites de « mesure vraiment radicale », mais a déclaré que l’accélération due à l’IA signifiait « que nous devions le faire ». ²

Le consensus pratique était sans détour : appliquez rapidement les correctifs. Le conseil de l’agence néerlandaise de cybersécurité était : « corrigez, corrigez et corrigez ». ² De nouveaux outils sont rapidement apparus pour aider les administrateurs à vérifier leur exposition, notamment une offre de crédits pour des vérifications de vulnérabilités PHP.Aravind Srinivas (AravSrinivas)⁵ La crise immédiate s’est peut-être apaisée, mais la course entre la découverte automatisée et l’exploitation abusive automatisée s’est clairement intensifiée.