Deux failles critiques dans PHP ont déclenché une course au correctif. Pour Wiz, l’IA change déjà la vitesse de découverte et d’exploitation.
En bref
- Deux failles critiques ont secoué PHP
- L’IA accélère la découverte des bugs
- Le patching manuel montre ses limites
Le plus intéressant dans l’affaire PHP, ce n’est pas seulement la panique de la semaine dernière. C’est le signal faible derrière. Pour Tomer Schwartz, CTO Exposure Management et AppSec chez Wiz, l’internet entre dans une phase où des pans entiers de code vieillissant vont devenir beaucoup plus faciles à casser. Et, franchement, pour tout l’écosystème mobile et cloud, ce n’est pas un détail.
Une alerte PHP qui dépasse le simple bug
Deux vulnérabilités critiques ont visé PHP, le langage qui fait tourner environ 70% des sites web. Résultat, des organisations ont dû corriger en urgence, certaines allant jusqu’à couper temporairement leurs services le temps d’appliquer les patchs.
Vu du terrain, on parle d’un composant banal, presque invisible, mais partout. Quand un socle pareil vacille, l’onde de choc ne reste pas cantonnée aux équipes sécurité. Elle remonte jusqu’aux opérations, à la disponibilité des sites, et aux arbitrages business les plus simples, garder le service ouvert ou limiter le risque.
Ce que l’IA change dans la découverte des failles
Là où le sujet devient vraiment important, c’est sur la méthode. Tomer Schwartz explique que Wiz n’aurait pas trouvé ces bugs sans IA. Avec un outillage maison, les équipes ont testé des dizaines de pistes sur un week-end.
Bon, on a longtemps présenté l’IA comme un accélérateur côté productivité. Ici, elle agit comme un multiplicateur côté recherche de vulnérabilités. Les chercheurs à l’origine de la découverte estiment d’ailleurs que ce n’est qu’un début, parce que l’IA réduit le temps nécessaire pour trouver des failles inédites, mais aussi pour les exploiter.
Pourquoi certaines failles dorment si longtemps
Un autre point frappe. L’un des bugs serait resté visible, en clair, pendant plus de dix ans. Pas caché dans un coin exotique du code, non. Visible, mais pas exploitable dans les conditions précédentes.
Ce qui a changé, selon les éléments évoqués par Wiz et Rebecca Bellan, c’est le contexte d’exploitation. Et ça, pour les DSI comme pour les éditeurs, c’est une mauvaise nouvelle: un vieux bug peut basculer d’inoffensif à critique sans réécriture complète du logiciel.
Le vrai mur, c’est la remédiation à grande vitesse
La course au correctif a impliqué Wiz, OpenAI, le groupe de recherche Calif et l’équipe PHP. On est sur une divulgation coordonnée, avec un défaut bien connu: les fuites finissent presque par faire partie du process.
Et derrière, il reste la question la moins glamour, mais la plus dure, patcher. Tomer Schwartz estime que le patching manuel ne passera pas à l’échelle. Bref, le sujet n’est déjà plus la seule découverte des failles. C’est la capacité à corriger vite, partout, y compris chez ceux qui ne l’ont pas encore fait, avec en toile de fond une inquiétude très concrète pour les petits acteurs qui exploitent des sites WordPress.
