Contexte de la vulnérabilité PHP
PHP, le langage de script derrière WordPress, Drupal et d’autres systèmes de gestion de contenu, alimente environ 70 % des sites web. La faille évoquée existait depuis des décennies, mais n’avait jamais été détectée jusqu’à cette semaine.
La découverte a été annoncée lors du podcast TechCrunch Equity. Des chercheurs humains, participant à l’initiative Hack the Planet de OpenAI et de Wiz (filiale de Google), ont identifié la vulnérabilité en s’appuyant sur des modèles de langage pour automatiser l’exploitation du bug.
Leur recommandation a été d’appliquer immédiatement un correctif ou, à défaut, de mettre les sites hors ligne. Cette double option reflète la gravité du problème : la faille permettait un accès non autorisé aux serveurs, justifiant des mesures d’urgence à l’échelle mondiale.
Implication des modèles de langage
Les LLMs ont accéléré la phase de recherche. Google, OpenAI et Wiz ont mobilisé leurs modèles pour analyser le code source de PHP, révélant ainsi une faiblesse que les outils traditionnels n’avaient pas détectée. Cette utilisation montre que les IA peuvent transformer la découverte de vulnérabilités.
Une fois la faille rendue publique, les acteurs malveillants ont exploité la même technologie. Matthew Prince, PDG de Cloudflare, a signalé des millions de tentatives d’attaque contre PHP2Shell en quelques heures, illustrant la capacité des agents automatisés à cibler massivement les serveurs vulnérables.
Parallèlement, Amazon a publié un article décrivant son réseau de honeypots qui a détecté des scans actifs avant même l’annonce officielle. Cette observation confirme que les IA peuvent être déployées en continu pour rechercher des failles à grande échelle.
Conséquences pour l’infrastructure web
Le correctif a déclenché une vague de mises à jour et de fermetures temporaires. Des dizaines de millions de sites ont été mis hors ligne, générant un phénomène de link rot où des pages historiques disparaissent définitivement.
Au-delà du simple site vitrine, la discussion a rapidement porté sur les risques pour les services critiques : banques, plateformes de données personnelles et autres infrastructures sensibles reposent sur le même code PHP. La divulgation montre que la dépendance à un logiciel open‑source ancien peut devenir un point d’échec systémique.
Les intervenants conviennent que la situation impose une réflexion sur les pratiques de divulgation et sur la nécessité d’intégrer des contrôles automatisés dès la phase de développement. Sans une amélioration du processus de patching, la combinaison de code legacy et d’IA générative pourrait entraîner de nouvelles crises similaires.
