Contexte et portée

Deux failles ont été découvertes dans le langage PHP, utilisé par plus de 70 % des sites web. L’avertissement de la société de sécurité Wiz indique une sévérité de 9,2 / 10. Les vulnérabilités touchent chaque version de PHP à partir de la branche 5, soit environ vingt ans d’évolution, y compris les versions non maintenues. Elles concernent des plateformes majeures : Wikipedia, WordPress, Drupal, DeviantArt, 4chan, ainsi que des services gouvernementaux néerlandais et finlandais.

Mécanisme d’exploitation

Les deux bugs permettent une exécution de code à distance (RCE). Un attaquant peut injecter du code arbitraire dans le processus PHP et le faire s’exécuter avec les privilèges du serveur web. Selon l’avis de Wiz, la chaîne d’exploitation était auparavant « au bord du possible », mais des modèles d’IA tels que GPT‑5.6 Sol ont automatisé la génération des payloads, réduisant ainsi la barrière technique. Le résultat est la capacité d’altérer des pages, de voler des données ou de prendre le contrôle complet du serveur.

Réactions et incidents majeurs

Après la divulgation, les tentatives d’exploitation ont explosé. Cloudflare a enregistré plusieurs milliers d’attaques dans les dix heures précédant l’annonce, puis des centaines de milliers en deux heures, et enfin des millions d’ici la nuit suivante. L’Internet Archive a été brièvement mis hors ligne avant de restaurer le service. Deux jeux mobiles japonais, World Quest et Save My Demonic World, ont annoncé leur fermeture définitive, leurs infrastructures ne pouvant pas être mises à jour. Des agences comme le NSA et le National Cyber Security Center du Royaume‑Uni ont recommandé la mise hors ligne temporaire des sites non patchés.

Correctifs et perspectives

Le 22 mai 2024, les développeurs de PHP ont publié un correctif simultané pour les deux vulnérabilités. Le patch corrige les chemins d’initialisation du moteur d’interprétation qui permettaient l’injection de code. Les équipes de sécurité conseillent d’appliquer immédiatement la mise à jour ou, à défaut, de désactiver les fonctions d’exécution dynamique. Le recours à l’IA pour identifier les failles montre une nouvelle dynamique : les chercheurs peuvent détecter des bugs complexes plus rapidement, mais les mêmes outils peuvent être détournés par des acteurs malveillants. La communauté doit donc renforcer les processus de revue de code et de test automatisé afin de limiter l’exposition future.