Début août, un chercheur de Wiz a demandé à un agent d’IA de tester si une faiblesse de WordPress pouvait s’appliquer à Drupal. L’agent a échoué dans cette tâche — mais a mis au jour à la place une faille PHP restée longtemps cachée. La découverte a d’abord suscité du scepticisme, car « les modèles ont tendance à halluciner », a déclaré le chercheur Sagi Tzadik, avant que l’exploit ne s’avère réel.¹

Cette découverte n’était pas isolée. Calif, travaillant avec OpenAI, avait trouvé une faille connexe, et les groupes se sont coordonnés avec les mainteneurs de PHP afin de retracer les bogues et de préparer un correctif. Pour les défenseurs, c’était une victoire rare : l’IA avait condensé ce que Tzadik qualifiait de « mois de recherche traditionnelle » en quelques jours ou quelques heures.¹ Mais cette même accélération a accru le danger. Un expert en cybersécurité a averti que l’IA avait brisé l’ancien cycle de réponse, permettant même à des attaquants peu qualifiés d’exploiter de graves failles en quelques minutes.²

Puis la divulgation a commencé à se fissurer. Des détails ont circulé en ligne avant la publication prévue du correctif ; une vidéo montrant par inadvertance un exploit a accentué la pression. Lorsque les mises à jour de la PHP Foundation sont arrivées, Cloudflare avait enregistré des milliers de tentatives d’exploitation avant la divulgation publique, puis des dizaines de milliers en 45 minutes et des millions par la suite.³

Les gouvernements et les entreprises ont réagi en mettant des services hors ligne le temps d’appliquer les correctifs. La Grande-Bretagne a fermé par précaution 32 services gouvernementaux ; des sites publics finlandais ont suspendu leurs tâches habituelles ; des portails néerlandais d’identité numérique et de déclaration se sont éteints. Pour les grandes institutions, un exploitant de petite entreprise a qualifié la perturbation de « ralentissement » ; pour les plus petites entreprises, les interruptions ont duré jusqu’à sept heures.³ Des outils et services sont rapidement apparus pour aider les administrateurs à évaluer leur exposition, notamment une offre de crédits pour des vérifications de vulnérabilités PHP de la part d’Aravind Srinivas de Perplexity.Aravind Srinivas (AravSrinivas)⁴

La catastrophe immédiate, toutefois, ne s’est pas pleinement produite. Des évaluations ultérieures ont conclu que, malgré des millions de tentatives, les bogues PHP étaient exceptionnellement difficiles à exploiter avec succès.⁵ Cela a offert un répit, pas un feu vert. Comme l’a dit Samantha Lewis, responsable du renseignement sur les menaces, la prochaine crise « pourrait survenir dans trois heures ». ⁵