Une faille critique dans PHP a entraîné des correctifs en urgence et des retraits temporaires de sites. Des tentatives d’exploitation massives ont été signalées, tandis que la découverte par des chercheurs liés à OpenAI et Wiz relance le débat sur la divulgation à grande échelle à l’ère des LLMs. L’ampleur de PHP dans l’infrastructure web complique la correction pour de nombreux acteurs.
Tentatives massives, sites retirés et crainte de pertes d’accès
Matthew Prince, PDG de Cloudflare, a signalé une forte augmentation des tentatives de piratage liées à PHP2Shell, avec des millions d'essais observés. Selon Sean O’Kane, des gouvernements ont retiré des sites et des plateformes très fréquentées ont été temporairement mises hors ligne pour appliquer les correctifs nécessaires. 404 Media a mis en avant le risque de dégradation des liens, conséquence des fermetures de sites décidées pour des raisons de sécurité. Kirsten Korosec souligne que ces retraits peuvent rendre inaccessibles de petits pans d’histoire en ligne lorsque la correction n’est pas immédiate.
Un socle web ancien et omniprésent exposé
PHP est le moteur de systèmes de gestion de contenu comme WordPress et Drupal, qui représenteraient environ 70 % des sites web. Ce langage open source, utilisé depuis des décennies, constitue une part essentielle de l’infrastructure des sites internet, parfois sans que les responsables de sites en aient pleinement conscience. Son rôle central dans la construction du web en fait un point de vulnérabilité structurel. L’échelle du phénomène, évoquée en dizaines de millions de sites, alimente les inquiétudes sur l’étendue de l’impact potentiel.
Découverte par Hack the Planet et urgence de corriger
Les vulnérabilités ont été identifiées par des chercheurs humains dans le cadre de l’initiative Hack the Planet, menée par OpenAI et Wiz. L’intelligence artificielle a été utilisée pour exploiter le bug découvert. Une alerte a été lancée, demandant aux propriétaires de sites de corriger immédiatement ou, à défaut, de retirer temporairement leurs sites en raison de la gravité de la faille. L’urgence est justifiée par le fait que si certains peuvent détecter la vulnérabilité, d’autres le peuvent aussi. Il est également précisé que cette faille existe dans PHP depuis des décennies.
Vous suivez la course aux modèles IA ?
Chaque sortie (GPT, Claude, Gemini, Mistral…) décryptée le soir même, en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisissez votre rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Divulgation à grande échelle : critiques, embargo et procédures
Des critiques ont émergé sur la façon dont la divulgation a été menée, certains pointant un battage médiatique et des ruptures d’embargo qui auraient accéléré la course des attaquants. Habituellement, une faille est signalée à l’éditeur dans un cadre restreint, mais la diffusion mondiale d’un composant aussi fondamental complique une alerte discrète. La difficulté à identifier les responsables techniques uniques est évoquée, tout comme l’idée, encore hypothétique, de recourir à des agents d’IA pour notifier à grande échelle. La situation est décrite comme une nouvelle frontière en cybersécurité, qui entraînera de nombreux allers-retours sur les méthodes de divulgation.
LLMs et agents d’IA : accélérateur potentiel et chasse coordonnée
Sean O’Kane indique que des équipes de Google et OpenAI ont été mobilisées pour identifier des failles, dont celles affectant PHP. La discussion relie l’accès généralisé aux modèles de langage et aux agents d’IA à une accélération possible de la découverte de vulnérabilités. Les LLMs sont désormais largement utilisés, et Wiz, impliquée dans l’initiative Hack the Planet, appartient aujourd’hui à Google. Anthony Ha mentionne également l’usage de modèles de langage dans la recherche de failles.
Capacités inégales de défense et pistes industrielles
Kirsten Korosec rapporte qu’Amazon a observé, via un réseau de honeypots, des tentatives d’exploitation avant l’annonce publique, illustrant des capacités de surveillance avancées. Elle souligne que de nombreux sites, y compris potentiellement des sites gouvernementaux, ne disposent pas de tels moyens, et estime que l’ampleur du problème dépasse ce qui peut être résolu actuellement. Elle anticipe des comportements plus extrêmes de la part de certains professionnels de l’IA et s’interroge sur l’émergence de startups ou l’utilisation d’outils open source, notamment proposés par Nvidia, pour renforcer la sécurité. Parallèlement, Sean O’Kane note que des acteurs cherchent déjà à exploiter ces vulnérabilités.
