La faille PHP a déclenché des correctifs en urgence et des fermetures de sites. Derrière l’alerte, c’est toute la solidité du web qui vacille.
En bref
- PHP expose la fragilité structurelle du web
- L’IA accélère détection et exploitation
- Petits sites et acteurs publics sont exposés
Le plus frappant, dans cette affaire PHP, ce n’est pas seulement la faille. C’est ce qu’elle raconte du web réel, celui qui tourne depuis des décennies sur des couches logicielles vieillissantes, partout, souvent sans propriétaire clairement identifié.
Quand une vieille brique du web devient un risque massif
Kirsten Korosec rappelle un point que pas mal de responsables numériques oublient: beaucoup ne savent même pas que leurs sites reposent sur PHP. Or ce langage open source, vieux de plusieurs décennies, reste une pièce centrale derrière des CMS comme WordPress ou Drupal. À l’échelle, on parle d’environ 70% des sites web, donc de dizaines de millions de sites.
Le malaise vient aussi de là. Selon Anthony Ha, la vulnérabilité existait depuis des décennies sans avoir été repérée. Résultat, des acteurs ont dû corriger dans l’urgence, ou couper leurs services quand le patch n’était pas prêt.
L’IA n’a pas trouvé seule la faille, mais elle change l’échelle
Il faut être précis. Les vulnérabilités en question ont été trouvées par des chercheurs humains participant à une initiative portée notamment par OpenAI et Wiz, désormais dans le giron de Google. En revanche, l’IA a servi à exploiter le bug, et c’est là que le sujet devient nettement plus large.
Sean O’Kane parle d’un moment de vérité, et sa formule tape juste: « quand on arrive au niveau des os de l’internet, tout semble tenu avec de la colle et des rêves ». Avec des LLM largement accessibles et des agents IA capables d’agir de façon ciblée, la chasse aux failles pourrait passer à une autre vitesse.
Divulgation chaotique, attaques en course et web à deux vitesses
Bon, le problème n’est pas seulement technique. Il est aussi dans la divulgation. Une fois la faille annoncée, il fallait patcher vite. Sauf qu’à cette profondeur du web, prévenir discrètement chaque administrateur est quasi impossible. Et quand l’embargo fuit, la fenêtre se transforme en course.
D’après Sean O’Kane, des attaquants ont cherché à profiter très vite de la situation. Matthew Prince, patron de Cloudflare, a même signalé une montée vers des millions de tentatives de piratage liées à PHP2Shell. De son côté, Amazon a expliqué avoir observé, via son réseau leurre, des tentatives d’exploitation avant même l’annonce publique.
Pourquoi l’écosystème mobile et numérique doit regarder ça de près
Ce qui se joue ici dépasse l’hébergement web. Kirsten Korosec évoque déjà le risque pour les banques, les données et la vie privée. Et elle pointe un autre effet très concret: le link rot. Quand des entreprises, des administrations ou de petits sites ferment plutôt que patcher, des pans d’archives et d’historique numérique disparaissent.
Et là, on voit se dessiner un web à deux vitesses. Les groupes comme Amazon ont les équipes, l’outillage et le capital pour détecter, observer, réagir. Les petits sites, certains acteurs publics, beaucoup moins. Du coup, cette séquence pourrait ouvrir un nouveau cycle pour la cybersécurité, avec de nouveaux outils open source et, peut-être, une vague de startups bâties sur cette faille de gouvernance autant que de code.
