IA et failles PHP exposent la fragilité du web

Des vulnérabilités critiques découvertes dans PHP, l’un des langages de programmation open source les plus utilisés sur le web, ont déclenché une alerte nationale et internationale, obligeant des millions de sites à être corrigés en urgence ou, à défaut, mis hors ligne temporairement. Cette situation, surnommée la « PHP-ocalypse », illustre la fragilité de certaines fondations de l’internet et la rapidité avec laquelle les failles peuvent devenir exploitables à grande échelle. La gravité de l’incident tient notamment à l’ampleur de PHP, qui alimente une grande partie des sites web dans le monde. Selon les informations évoquées, environ 70 % des sites reposeraient sur des technologies liées à PHP, dont de nombreux systèmes de gestion de contenu très populaires comme WordPress ou Drupal. Cette dépendance signifie qu’une seule faille peut toucher des dizaines de millions de pages, y compris des sites personnels, commerciaux ou institutionnels. Les chercheurs ont indiqué que ces vulnérabilités n’étaient pas nouvelles : elles existeraient depuis des décennies. Leur découverte a toutefois été accélérée par l’utilisation de modèles d’intelligence artificielle et de grands modèles de langage. Une précision importante a toutefois été apportée : les failles ont été identifiées par des chercheurs humains participant à une initiative associée à OpenAI et Wiz, désormais propriété de Google, et non par des modèles d’IA de manière autonome. Les outils d’IA ont servi à explorer et exploiter la vulnérabilité, montrant comment des systèmes avancés peuvent aider à révéler des faiblesses anciennes mais longtemps restées invisibles. L’annonce de la faille a créé une course entre la diffusion des correctifs et les tentatives d’exploitation. Comme il est impossible d’alerter discrètement chaque propriétaire de site utilisant PHP, la divulgation publique s’est imposée, malgré le risque de précipiter les attaques. Plusieurs sources ont évoqué un afflux de tentatives de piratage, avec notamment des millions d’essais signalés par Cloudflare. Amazon a de son côté indiqué, via un blog, avoir détecté des tentatives d’exploitation avant même l’annonce publique, grâce à des réseaux de leurre utilisés pour surveiller les activités malveillantes. Les commentaires recueillis lors d’un débat spécialisé présentent cet épisode comme un moment de vérité pour l’infrastructure d’internet. Le web repose encore largement sur des logiciels anciens, souvent maintenus par des équipes réduites ou des contributeurs bénévoles. Le risque augmente avec la diffusion d’outils capables de scanner, analyser et exploiter des vulnérabilités, y compris via des agents automatisés. Même si la faille PHP a été trouvée par des humains, l’IA abaisse le niveau de compétence technique nécessaire pour repérer ou exploiter certaines faiblesses. Cette asymétrie entre grandes entreprises et petits sites inquiète. Les acteurs très capitalisés disposent d’équipes de sécurité, d’outils de surveillance et de ressources suffisantes pour réagir rapidement. En revanche, des sites individuels, locaux ou publics peuvent être plus lents à corriger, voire rester exposés. La mise hors ligne de nombreux sites pour éviter les attaques pose aussi un problème de continuité : pertes de contenu, liens rompus et archives inaccessibles, notamment pour des sites qui ne peuvent plus être relancés après l’incident. L’affaire relance enfin le débat sur la sécurité des logiciels open source, omniprésents dans l’informatique moderne. Si leur transparence est un atout, leur maintenance inégale devient un risque systémique lorsque les outils d’IA rendent les failles plus faciles à détecter. Pour les spécialistes, cet épisode pourrait n’être que le premier d’une série plus fréquente de crises de sécurité liées aux fondations logicielles de l’internet.