Deux trous critiques dans PHP. Des correctifs déjà publiés par la PHP Foundation. Et un conseil de la NSA qui ne fait pas dans la dentelle : si tu ne peux pas mettre à jour ton site tout de suite, coupe-le. Débranche. Reviens quand tu auras patché.
PHP, c’est le langage qui fait tourner à peu près 70 % des sites web dont on arrive à identifier la techno, plus de 33 millions de pages selon certains décomptes, WordPress en tête de gondole. Autrement dit, ce n’est pas une cloison du bâtiment, c’est le plancher.
Et le plancher était pourri depuis 2004.
Vingt-deux ans dans le mur
Les deux failles sont planquées dans toutes les versions de PHP depuis la 5, sortie en 2004. Elles permettent à un attaquant de fouiller le système de fichiers du serveur ou la base de données de l’application web. Deux décennies de tranquillité, donc, pas parce que personne ne cherchait, mais parce que c’était trop dur à exploiter. On y revient.
Qui les a trouvées ? L’IA. Calif, une boîte de tests de sécurité embarquée dans « Patch the Planet », le programme d’OpenAI sur l’open source, a sorti l’une des deux avec GPT-5.6 Sol. En parallèle, l’équipe de Wiz a lâché son agent de sécurité Atlas, plus Gemini 4 Argon et GPT-5.6 Sol, et en a ramené plusieurs. La semaine dernière, je racontais que Gemini 4 Argon savait trouver les failles et que Google jurait qu’il saurait aussi s’arrêter (c’était le 14 octobre). Sur PHP, il les a trouvées. La partie « s’arrêter » n’était pas dans le périmètre.
Tout le monde a fait ça proprement : recherche responsable, travail avec les mainteneurs sur les correctifs avant publication, puis vérification collective des rustines. Wiz remercie Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft et Vercel. WordPress a publié un communiqué pour dire que le problème n’est pas spécifique à son CMS : il faut patcher le serveur, et voir avec l’hébergeur. C’est-à-dire, en pratique, avec quelqu’un qui a peut-être autre chose à faire cette semaine.
Le même outil qui perce et qui répare
Voilà le nœud de l’affaire, et Wiz le dit sans détour dans son billet. Avant l’IA, ces failles étaient trop difficiles à exploiter, ce qui explique qu’elles aient survécu vingt ans. « Avec l’IA, ce n’est plus un obstacle. Les LLM peuvent aider à adapter un exploit à différentes versions de PHP, configurations et agencements mémoire. » Traduction : le travail d’ajustement, celui qui demandait des heures à un humain qui savait ce qu’il faisait, un modèle le torche maintenant.
Donc on a un trou qui a été trouvé grâce à l’IA et qui est devenu franchement dangereux à cause de l’IA. Les deux moitiés du même progrès, dans le même paragraphe.
Reste le calendrier, et il est serré. La version à jour, c’est PHP 8.5.12. Les branches 8.1 et antérieures ne sont plus maintenues du tout, ce qui veut dire que des gens vont devoir migrer avant de patcher. Des dizaines de millions de sites à traiter, et une fenêtre qui se referme à mesure que la nouvelle circule.
Et elle circule vite. Le Monde rapporte que des sites sont passés hors ligne un peu partout dans le monde, autorités et entreprises préférant couper plutôt que risquer. En Asie, c’est du concret : selon Nikkei Asia, Sega, All Nippon Airways et MUFG Bank ont suspendu des sites et des morceaux de leurs services en ligne dès jeudi, pendant que les régulateurs de la région appelaient à mettre à jour en urgence.
« Pas d’exploit dans la nature », jusqu’au lendemain
OpenAI affirme que ses chercheurs sont passés avant les hackers et qu’aucun exploit n’a été signalé dans la nature. Ça s’entend : la faille n’était pas exploitable facilement hier.
Sauf que le Financial Times a publié ce jeudi un papier dont le titre dit qu’Amazon alerte sur des failles détectées grâce à l’IA et désormais « largement exploitées » (l’article est ici). Je n’ai pas de quoi affirmer que l’avertissement d’Amazon porte précisément sur ces deux trous PHP, et je ne vais pas maquiller l’incertitude en scoop. Mais le timing pique : deux jours après une découverte présentée comme maîtrisée, quelqu’un chez un géant du cloud parle d’exploitation large.
Ce qui est certain, c’est la mécanique. Le trou existait, il ne servait à rien, un agent IA l’a sorti de vingt ans de silence, et il suffit d’un modèle un peu bavard pour transformer cette découverte en outil à la portée du premier venu. Le correctif, lui, ne se déploie pas à la vitesse d’un prompt.
Il reste une inconnue, et elle est énorme : combien de sites tournent encore sur du PHP 7 planqué derrière un hébergeur qui n’a pas lu le mail. Ceux-là ne savent peut-être pas encore qu’ils sont le sujet. Ils vont l’apprendre.
Sources :
Comments are closed