Pendant des années, l’omniprésence de PHP est restée largement invisible pour les internautes. Puis des chercheurs assistés par l’IA, travaillant avec des outils d’OpenAI et de Google, ont découvert de graves faiblesses de longue date dans ce langage de script, utilisé par environ 70 % des sites web.¹

Cette découverte a transformé une tâche logicielle familière en urgence. La semaine dernière, deux bogues critiques ont poussé des organisations à se précipiter pour corriger les systèmes concernés ; certaines ont mis des sites web hors ligne plutôt que de les laisser exposés pendant la préparation des correctifs.² L’ampleur de la réaction reflétait non seulement la portée de PHP, mais aussi l’inquiétante possibilité que du code vieillissant largement déployé contienne des vulnérabilités qui sont tout simplement passées inaperçues.

Les chercheurs et l’équipe PHP ont travaillé avec OpenAI, Wiz et le groupe de recherche Calif afin de coordonner les correctifs. Mais l’incident a aussi révélé les limites de ce modèle. Tomer Schwartz, directeur technique de Wiz pour la gestion de l’exposition et l’AppSec, a déclaré que l’entreprise « n’aurait pas pu trouver ces bogues sans l’IA », après que des outils sur mesure ont testé des dizaines d’hypothèses possibles au cours d’un week-end.²

Cette vitesse est au cœur de la tension. L’IA peut offrir aux défenseurs un moyen puissant d’inspecter du vieux code, mais elle peut aussi accélérer la découverte — et potentiellement l’exploitation — de nouvelles vulnérabilités. Selon le récit de la réponse apportée, l’un des bogues de PHP était resté « à la vue de tous pendant plus d’une décennie » avant que l’évolution des conditions ne le rende exploitable.²

Pour les exploitants de sites, le message immédiat est moins futuriste : appliquer rapidement les correctifs et vérifier que les logiciels sous-jacents à un site web ont réellement été mis à jour. Pour le secteur de la sécurité, l’alerte PHP constitue une leçon plus sévère. Les correctifs manuels ne peuvent pas passer à l’échelle si les machines commencent à découvrir des failles à l’échelle d’Internet à la vitesse des machines.¹