Failles PHP : le web pris de court, l'IA promet une vague

Quand le protocole de sécurité échoue

Des préfectures, des hôpitaux, des sites d'opérateurs : des centaines de plateformes françaises se sont retrouvées dans le noir cette semaine à cause de deux failles critiques dans PHP, le langage qui propulse une grande partie du web. Selon 01net, ce chaos trouve son origine dans « un protocole de sécurité qui s'est mal passé ». Des fuites ont transformé ce qui devait être une correction discrète en « véritable course contre la montre ».

PHP, utilisé par des millions de sites à travers le monde, constitue l'un des piliers du web moderne. Quand une faille critique y est découverte, les développeurs travaillent normalement dans la confidentialité pour corriger le problème avant sa divulgation publique. Mais cette fois, l'information a fuité prématurément, donnant aux attaquants le temps d'agir avant que les sites ne se protègent.

La banque Revolut a par ailleurs été victime d'un bug Google Cloud durant la même période, et Orange a subi une panne de 10 heures le 21 octobre — due à « un incident majeur et inédit » provoqué par un bug logiciel, a déclaré le dirigeant d'Orange France à 01net. L'opérateur ne prévoit pas de geste commercial supplémentaire.

L'IA, future découvreuse de vulnérabilités

Jason Clinton, responsable adjoint de la sécurité chez Anthropic (la société derrière l'IA Claude), a profité de cette crise PHP pour réitérer un avertissement qu'il lançait déjà en août. « Vous avez détesté les failles critiques de PHP ? » titre Numerama en rapportant ses propos. Selon lui, un « tsunami » de vulnérabilités trouvées par l'intelligence artificielle va déferler pendant environ 18 mois.

Clinton ne parle pas des failles PHP actuelles — celles-ci n'ont pas été découvertes par l'IA selon les sources disponibles. Il prévient plutôt d'une vague à venir : l'intelligence artificielle va permettre de détecter des failles que les humains n'auraient peut-être jamais trouvées, ou beaucoup plus lentement.

Ce scénario soulève une question essentielle : qui trouvera ces vulnérabilités en premier ? Les équipes de sécurité ou les cybercriminels ? Les deux camps auront accès aux mêmes outils d'IA, mais tous les éditeurs de logiciels n'auront pas les moyens de corriger leurs failles au même rythme.

Une faille « éternelle » vient s'ajouter au tableau

Pendant ce temps, Numerama révèle l'existence d'une autre vulnérabilité critique, celle-là dans EDK2, le code sur lequel repose « le démarrage de l'immense majorité des serveurs » du monde. Baptisée « bug éternel », elle permet d'exécuter du code avant même le lancement du système d'exploitation. Son exploitation reste exigeante techniquement, mais « sa correction s'annonce (très) longue », prévient le site.

Pourquoi c'est important

Ces événements dessinent un nouveau paysage de la cybersécurité. Le fiasco PHP montre qu'un simple protocole qui déraille peut exposer des milliers de sites simultanément. La prédiction de Jason Clinton sur le « tsunami » d'IA suggère que ce genre de crise pourrait devenir plus fréquent. Et la faille EDK2 rappelle que certaines vulnérabilités touchent des infrastructures si fondamentales que les corriger relève du casse-tête.

Pour les développeurs et administrateurs système — partout dans le monde, y compris en Afrique de l'Ouest où PHP équipe également de nombreux sites gouvernementaux, bancaires et de services —, le message est clair : le délai entre la découverte d'une faille et son exploitation va se réduire. Les mises à jour de sécurité ne peuvent plus attendre.