Des chercheurs en sécurité ont mis au jour des vulnérabilités critiques dans PHP, le langage de programmation qui sous-tend une grande partie d’Internet. Ces failles, restées inaperçues pendant plus d’une décennie, ont été détectées grâce à des outils d’intelligence artificielle avancés. Leur divulgation a déclenché une vague d’alertes et de mesures d’urgence à l’échelle mondiale.
PHP, abréviation de « PHP : Hypertext Preprocessor », est utilisé depuis les années 2000 pour développer des sites web et des applications. Il est à la base de plateformes majeures comme Wikipédia, WordPress ou de nombreuses boutiques en ligne. La faille identifiée permettrait à des pirates de prendre le contrôle de serveurs web sans authentification et de voler des données sensibles. Selon Paul Spain, directeur général de Gorilla Cyber Security, « des millions et des millions » de sites pourraient être concernés. La société Wiz, dont les chercheurs ont participé à la découverte, a qualifié ces vulnérabilités de « plus graves » jamais détectées par l’IA. OpenAI, dont la technologie a contribué à les identifier, a parlé de « l’un des problèmes de sécurité les plus graves de ces dernières années ».
Cette affaire s’inscrit dans un contexte où PHP reste massivement utilisé malgré l’émergence de technologies plus récentes. De nombreux sites web, en particulier ceux de petites structures disposant de ressources limitées en cybersécurité, reposent sur des versions anciennes ou mal maintenues de PHP. Ryan Ko, du Cyber Research Centre de l’université du Queensland, souligne que « bon nombre de ces failles proviennent de la manière dont les logiciels ont été conçus par le passé, c’est-à-dire en privilégiant la fonctionnalité au détriment de la sécurité ». La détection de ces failles par l’IA met également en lumière une nouvelle dynamique : les outils d’intelligence artificielle peuvent accélérer la découverte de vulnérabilités, mais aussi aider les attaquants à développer des exploits plus rapidement.
Les experts avertissent que d’autres tentatives d’exploitation sont à prévoir dans les semaines à venir, les détails techniques étant désormais publics. Salil Kanhere, chercheur à l’UNSW de Sydney, estime que les sites mal entretenus, notamment ceux des petites organisations, seront particulièrement exposés. L’Agence nationale de sécurité américaine (NSA) a recommandé aux organisations de mettre leurs systèmes hors ligne si elles ne peuvent pas appliquer immédiatement les correctifs, évoquant un risque d’« accès direct » à la base de données. Le Centre national de cybersécurité du Royaume-Uni a conseillé de vérifier la présence éventuelle de « portes dérobées installées par un pirate ». Les autorités européennes, singapouriennes et australiennes ont également émis des alertes. La Première ministre japonaise, Sanae Takaichi, a exhorté la population à vérifier si les sites accessibles au public fonctionnent sous PHP et à prendre des mesures immédiates.
Les développeurs de PHP ont publié mercredi des correctifs visant à corriger ces failles. « Tous les utilisateurs de PHP sont vivement encouragés à effectuer la mise à jour sans délai », a indiqué la société. Amazon a déclaré avoir été la cible de multiples tentatives quelques jours avant la divulgation publique de la vulnérabilité, sans que l’on sache comment les attaquants ont eu connaissance de son existence. Wikimedia a mis hors ligne plusieurs de ses systèmes à titre de précaution. Le gouvernement finlandais, le conseil municipal d’Édimbourg, la BBC et l’agence néerlandaise de cybersécurité ont également retiré leurs sites ou certaines de leurs pages. Des organismes publics écossais ont pris des mesures similaires. Pour les propriétaires de sites, la priorité est d’appliquer le correctif PHP, une mise à jour de routine pour la plupart des équipes techniques selon Paul Spain. La NSA appelle à une « vigilance accrue » et à suivre les mises à jour des éditeurs de logiciels. Salil Kanhere recommande aux utilisateurs de rester attentifs aux conseils de sécurité et de se méfier des messages de hameçonnage exploitant la médiatisation de l’incident.
Cette découverte illustre à la fois les capacités et les ambiguïtés de l’intelligence artificielle en matière de cybersécurité. OpenAI reconnaît que cet incident « met en évidence la capacité de l’IA à détecter des failles de sécurité », mais aussi la manière dont elle peut « aider les pirates à développer rapidement des outils offensifs et des exploits ». La firme a publié un programme permettant de vérifier si une plateforme PHP est sécurisée. Pour les experts, la responsabilité incombe principalement aux exploitants de sites web, mais la sensibilisation du public reste essentielle. La rapidité de la propagation de l’alerte et l’ampleur des mesures prises témoignent d’une prise de conscience croissante des risques liés à la dépendance à des technologies anciennes et insuffisamment auditées.
