En bref
- Une faille critique touchant PHP, utilisé par une grande partie du Web, expose potentiellement des millions de sites et oblige leurs administrateurs à agir rapidement.
- Découverte par des chercheurs humains, cette vulnérabilité illustre comment l’IA pourrait accélérer la détection et l’exploitation des failles informatiques.
- Alors que des tentatives d’attaque sont déjà signalées, les sites les moins bien protégés risquent de subir des dégâts, voire de disparaître faute de moyens pour se mettre à jour.
Le plus flippant dans cette affaire, ce n’est même pas la faille elle-même. C’est de réaliser que le web tient encore sur du code vieux de plusieurs décennies, utilisé partout, souvent sans que les gens sachent qu’il tourne sous le capot.
Le vrai choc, c’est l’échelle du problème
PHP, ce n’est pas un obscur composant planqué dans un coin. C’est un morceau central de l’internet, derrière WordPress, Drupal et une masse énorme de sites, jusqu’à environ 70% du web d’après les échanges autour de cette crise. On parle donc de dizaines de millions de pages, de services et de back-offices potentiellement concernés.
Et c’est là que ça pique. Pas mal de propriétaires de sites ne savent même pas que leur infrastructure repose sur PHP. Du coup, quand l’alerte tombe, avec consigne de corriger tout de suite ou de couper le site, vous imaginez la panique.
L’IA n’a pas trouvé la faille, mais elle change déjà la partie
Un point a vite circulé de travers, puis a été corrigé. Les vulnérabilités en question n’ont pas été découvertes directement par des modèles d’IA, mais par des chercheurs humains impliqués dans l’initiative Hack the Planet menée avec OpenAI et Wiz, désormais propriété de Google.
Mais il ne faut pas se raconter d’histoires. Si l’IA peut aider à exploiter ce genre de bug, elle peut aussi rendre la chasse aux failles beaucoup plus rapide, beaucoup plus large, presque industrielle. C’est le vrai basculement. Des agents spécialisés, focalisés sur une seule tâche, peuvent faire grimper l’échelle d’un coup. Là, clairement, on n’est plus dans la petite alerte de maintenance.
Des correctifs dans l’urgence, des attaques déjà en route
Le scénario a tout du cauchemar moderne. Une vulnérabilité ancienne, cachée pendant des années. Une annonce publique nécessaire pour pousser les correctifs. Et, en parallèle, une fenêtre parfaite pour ceux qui veulent attaquer avant que tout le monde ait patché.
Sean O’Kane parle d’un moment de vérité pour l’infrastructure open source. Matthew Prince, le patron de Cloudflare, a signalé une escalade jusqu’à des millions de tentatives liées à PHP2Shell. De son côté, Amazon explique avoir observé des essais d’exploitation sur son réseau leurre avant même l’annonce publique. Résultat? La course a commencé avant le coup d’envoi officiel.
Pourquoi cette affaire risque de laisser des traces ?
Ce qui vient ensuite n’est pas très rassurant. Kirsten Korosec insiste sur un point simple, les grands groupes comme Amazon ont les équipes, l’argent et les outils pour voir venir. Beaucoup d’autres, non. Petites boîtes, administrations, sites oubliés, tout ce vieux web-là risque de décrocher.
Et si certains choisissent de fermer plutôt que corriger, le link rot va encore gagner du terrain, comme l’a souligné 404 Media. Des liens morts, des archives perdues, parfois un petit bout d’histoire locale qui disparaît. Avec en toile de fond des craintes plus larges sur les banques, les données personnelles et la vie privée. Bref, cette faille n’est peut-être que le premier trailer d’un nouveau chapitre en cybersécurité.
