Contexte des vulnérabilités PHP
La semaine dernière, deux vulnérabilités critiques ont été découvertes dans le langage PHP, qui alimente environ 70 % des sites web. Ces failles ont immédiatement déclenché une vague de correctifs d’urgence, certains opérateurs allant jusqu’à mettre leurs services hors ligne jusqu’à l’application des correctifs. Le CTO de Wiz, Tomer Schwartz, a participé à la réponse, aux côtés d’équipes d’OpenAI, du groupe de recherche Calif et des mainteneurs du projet PHP.
Impact de l’IA sur la découverte de failles
Schwartz souligne que l’intelligence artificielle modifie le rythme de découverte des vulnérabilités. Les modèles de génération de code peuvent analyser rapidement de larges bases de code, identifier des patterns de mauvaise implémentation et proposer des exploits automatisés. Cette capacité réduit le délai entre la découverte d’une faille et son exploitation potentielle, créant ce que les intervenants appellent une « vulnpocalypse ». Le fait que les deux bugs aient été découverts simultanément par plusieurs acteurs indépendants illustre la puissance de l’IA pour accélérer la recherche de nouvelles failles.
Limites du correctif manuel et solutions d’exposition
Le podcast met en avant le problème de l’application manuelle des correctifs. Même avec des alertes précises, les équipes doivent identifier chaque instance affectée, télécharger les correctifs, tester la compatibilité et redéployer. À l’échelle du web, ce processus ne peut pas suivre le volume de sites concernés. Schwartz propose une approche d’exposure management : scanner en continu les environnements, corréler les vulnérabilités avec les actifs réels et automatiser le déploiement des correctifs ou des mitigations temporaires. Cette méthode repose sur la visibilité centrale des ressources cloud et sur des API d’orchestration pour réduire le temps de réponse de plusieurs jours à quelques heures.
En conclusion, l’incident PHP montre que la combinaison d’une base de code massive, d’une adoption généralisée et d’une IA capable d’exploiter rapidement les failles crée un nouveau vecteur de risque. Les organisations qui continuent de dépendre de correctifs manuels risquent de rester en retard face à la cadence d’exploitation. L’adoption d’outils d’exposition automatisés, comme ceux promus par Wiz, apparaît comme une réponse technique nécessaire pour contenir la propagation de futures vulnérabilités.
