Au cours des deux derniers mois, nous avons dirigé une coalition de mainteneurs, de chercheurs et de fournisseurs de sécurité pour traiter des vulnérabilités critiques dans PHP, un langage de programmation open source utilisé pour faire fonctionner des sites web et des applications web. Calif a identifié une faille critique à l'aide de GPT‑5.6 Sol dans le cadre de notre Patch the Planet(s'ouvre dans une nouvelle fenêtre) initiative, tandis que Wiz a également découvert et signalé indépendamment les deux vulnérabilités. Les mainteneurs de PHP ont dirigé les correctifs et la publication, nos équipes et des partenaires comme Wiz, Cloudflare et d'autres contribuant par la recherche, le soutien technique et la coordination afin de préparer des protections avant la divulgation.
Pour les organisations utilisant PHP, la priorité est désormais d'appliquer les correctifs. Nous partageons un vérificateur de version PHP sous forme de compétence Codex(s'ouvre dans une nouvelle fenêtre) pour aider les opérateurs à identifier les versions potentiellement vulnérables de PHP et, en s'appuyant sur les recommandations de PHP et de leurs fournisseurs, à déterminer quelles mises à jour s'appliquent.
Compte tenu de la gravité de ces failles et de l'usage répandu de PHP, nous considérons qu'il s'agit de l'une des questions de sécurité les plus marquantes de mémoire récente. Cela illustre comment l'IA peut découvrir des failles de sécurité à impact à l'échelle d'Internet, mais les mêmes capacités peuvent aussi aider des attaquants à développer rapidement des outils offensifs et des exploits.
À notre connaissance, l'IA de pointe a trouvé ces vulnérabilités avant les attaquants, ouvrant une Fenêtre du défenseur aux mainteneurs et aux fournisseurs de sécurité pour préparer les correctifs et les protections avant la divulgation.
Pour aider davantage de défenseurs à utiliser ces capacités, nous nous sommes engagés à verser 1 milliard de dollars sous forme d'accès subventionné à Daybreak via Daybreak for Frontline Defenders, axé sur les organisations disposant de ressources de sécurité limitées qui protègent des services essentiels.
Aussi importantes soient-elles, ces failles font partie des plusieurs vulnérabilités significatives que nous avons déjà trouvées et que nous nous efforçons de corriger, et nous nous attendons à ce que des découvertes similaires augmentent fortement dans les mois à venir. Forts de notre expérience à ce jour, nous partageons une approche proposée, adaptée à l'ère de l'IA, pour répondre aux vulnérabilités critiques dans les logiciels largement utilisés, et nous demandons à la communauté de la sécurité de nous aider à améliorer ce cadre. Il réunit nos modèles, notre expertise en sécurité et les mainteneurs pour aider à transformer les découvertes en protection et bâtir une réponse capable de passer à l'échelle à mesure que les capacités de l'IA progressent.
Coordonner une réponse mondiale
Mettre un correctif en service peut signifier l'adapter aux versions plus anciennes, préparer des mesures d'atténuation des fournisseurs et mettre à jour des systèmes dans de nombreuses organisations. Un processus reproductible aide ces équipes à agir rapidement à mesure que davantage de vulnérabilités sont découvertes.
Grâce à Patch the Planet, nous avons apporté une expertise en sécurité et un accès à nos modèles pour soutenir la réponse à PHP, et nous avons travaillé avec les mainteneurs et des partenaires de recherche pour tester les correctifs et préparer les recommandations. Nous avons également aidé à coordonner avec les fournisseurs d'infrastructure des protections pour les systèmes touchés et mobilisé des agences cyber gouvernementales afin que les recommandations atteignent les organisations critiques. Cela a soutenu la réponse menée par les mainteneurs et aidé d'autres défenseurs à se préparer.
Pour certaines découvertes, les chercheurs peuvent travailler directement avec les mainteneurs du logiciel pour étudier le problème et développer un correctif. D'autres nécessitent une réponse plus large parce qu'elles touchent de nombreux produits ou parce que les distributeurs et les fournisseurs de services ont besoin de temps (qui peut manquer si les capacités de pointe ne sont pas trop en avance sur celles qui sont largement disponibles) pour préparer des mises à jour et des protections. Dans ces cas, le cadre proposé peut aider les mainteneurs à identifier qui doit être impliqué et à coordonner le travail. La réponse peut comprendre cinq étapes :
Valider et corriger la vulnérabilité en amont. Le mainteneur, les chercheurs et les partenaires techniques essentiels confirment la découverte, évaluent son impact, et développent et testent un correctif. Ce processus comprend des tests adversariaux avec des modèles de pointe pour chercher des moyens de contourner le correctif et des variantes liées de la vulnérabilité.
Donner aux organisations concernées le temps d'agir. Nous proposons un cadre pour déterminer quelles organisations ont besoin d'informations en avance pour préparer des protections, les mainteneurs décidant qui impliquer. Nous aidons pour la prise de contact, les accords de partage d'informations et la coordination entre les équipes. Un distributeur peut adapter un correctif à une version plus ancienne, un hébergeur peut tester une mesure d'atténuation, et un fournisseur de sécurité peut préparer des mesures de détection ou de prévention, y compris des règles de pare-feu d'application web (WAF).
Se coordonner avec les partenaires gouvernementaux pour aider à protéger les systèmes critiques. Les agences gouvernementales jouent un rôle essentiel dans la coordination d'une réponse plus large et pour aider les recommandations de sécurité à atteindre les organisations responsables des infrastructures critiques et d'autres services essentiels. Dans le cas de PHP, nous avons travaillé, en collaboration avec nos partenaires, à mobiliser plusieurs branches du gouvernement américain, dont la Super Intelligence Force de la Maison-Blanche, le Bureau du directeur national de la cybersécurité (ONCD) et l'Agence de la sécurité des infrastructures et de la cybersécurité (CISA), ainsi que des partenaires internationaux pour soutenir cet effort.
Préparez les mises à jour pour les produits concernés. À mesure que les plans de correctif, de recommandations et de divulgation se stabilisent, les mainteneurs peuvent faire participer des distributeurs supplémentaires, des fournisseurs d'hébergement et de services, des équipes de réponse et des opérateurs afin de préparer les mises à jour et de combler les lacunes de couverture.
Une fois qu'un correctif est disponible, publiez des recommandations et accompagnez le déploiement. Les recommandations publiques aident les gens à évaluer leur exposition, à trouver des mises à jour ou des mesures d'atténuation provisoires faisant autorité, et à vérifier qu'un correctif est en cours d'exécution. La réponse se poursuit à mesure que les opérateurs déploient les mises à jour et signalent les endroits où ils ont besoin d'aide.
Le cadre proposé prend en compte le rôle de protection d'une organisation, y compris la protection de ses propres systèmes et de ses clients, le temps nécessaire pour agir, et sa capacité à traiter des informations sensibles. Les mêmes critères s'appliqueraient à des organisations comparables, les mainteneurs décidant qui impliquer avant la divulgation.
Chaque participant reçoit les informations nécessaires pour mener à bien son travail de protection, des journaux réseau avec indicateurs de compromission aux preuves de concept d'exploitation plus sensibles. Même des détails limités peuvent révéler une vulnérabilité, c'est pourquoi nous pesons le risque de les partager par rapport à la protection qu'ils permettent.
Les équipes suivant ce cadre travailleraient avec les mainteneurs pour donner aux défenseurs le temps de se préparer et réévalueraient le calendrier en cas d'exploitation active dans la nature, de fuite, de correctif public révélateur ou de risque accru pour les utilisateurs dû à un assainissement au point mort.
Le site web Patch the Planet(s'ouvre dans une nouvelle fenêtre) réunit les divulgations publiques et les recommandations pour aider les opérateurs à identifier les systèmes concernés, à trouver la bonne mise à jour et à vérifier que le logiciel mis à jour fonctionne correctement. Pour PHP, il renvoie vers les instructions officielles de correctif et de mise à niveau des mainteneurs ainsi que vers les recherches techniques de nos partenaires. Les recommandations couvrent également les mesures d'atténuation provisoires, le moment d'impliquer un fournisseur ou un expert, ainsi que la sauvegarde et la récupération. Les protections provisoires peuvent réduire les risques, mais nous préciserons clairement leurs limites et leurs compromis opérationnels.
Les opérateurs peuvent utiliser les recommandations de la CISA sur la priorisation et l'assainissement(s'ouvre dans une nouvelle fenêtre) pour évaluer la rapidité d'action nécessaire en fonction de l'exposition, de l'exploitation et de l'impact potentiel. Cela peut signifier un correctif d'urgence, une atténuation immédiate ou une mise à jour planifiée, ainsi qu'un triage médico-légal lorsque cela est justifié pour déterminer si des systèmes ont déjà été compromis. Les priorités doivent être réévaluées à mesure que les conditions évoluent, avec un chemin clair vers un assainissement durable.
Donner aux mainteneurs les capacités et les ressources nécessaires pour répondre
La coordination mondiale dépend des personnes qui maintiennent les logiciels. De nombreux projets sont gérés par de petites équipes qui examinent les rapports de sécurité en parallèle du développement courant. Ces équipes ont besoin d'aide pour distinguer les nouveaux problèmes des doublons, évaluer l'impact et tester les correctifs sur les versions prises en charge. Nous soutenons ce travail par un financement, un accès à des modèles performants et une aide d'ingénierie concrète.
Des capacités d'IA puissantes progressent dans l'ensemble du secteur, et nous nous attendons à ce que l'IA joue un rôle croissant en aidant les défenseurs à trouver des vulnérabilités, à surveiller les systèmes et à répondre aux menaces. Nous investissons dans des modèles, des outils et des partenariats pour aider les défenseurs à mettre ces capacités au travail.
Nos investissements comprennent des abonnements pour tous les mainteneurs via Codex for OSS et le parrainage direct de projets tels que la Rust Foundation(s'ouvre dans une nouvelle fenêtre) pour les mainteneurs et le travail technique. Chaque projet fixe ses propres priorités. Des tests réutilisables et des flux de travail de sécurité peuvent réduire l'effort nécessaire pour traiter les découvertes futures. Les projets open source peuvent faire une demande à Patch the Planet(s'ouvre dans une nouvelle fenêtre) pour un accompagnement concret.
Nous calibrons également des classifieurs de blocage supplémentaires pour Daybreak afin de contribuer à réduire le risque d'utilisation abusive. Cela implique des compromis difficiles : les dispositifs de protection destinés à prévenir les abus peuvent aussi bloquer un travail de sécurité légitime. Un large accès à des modèles performants et des protections efficaces contre les abus sont tous deux essentiels. Notre objectif est de préserver les capacités dont les défenseurs ont besoin pour trouver et corriger les vulnérabilités tout en limitant les usages nuisibles. Nous continuerons à affiner cet équilibre à mesure que les capacités progressent et que nous apprenons de l'utilisation de ces outils.
Construire des fondations logicielles plus sûres
À mesure que les modèles deviennent plus performants, l'opportunité s'étend au-delà de la découverte et de la correction de vulnérabilités individuelles. Nous souhaitons aider les ingénieurs à construire des logiciels plus sûrs dès le départ. Les améliorations apportées à un composant largement utilisé peuvent prévenir des bugs ou limiter leur impact sur de nombreux produits et services.
L'IA peut aider les ingénieurs à comprendre le code existant, à préparer des modifications et à développer des tests, tandis que les mainteneurs et les experts en sécurité vérifient que ces modifications préservent le comportement dont dépendent les utilisateurs. Nous voyons des opportunités dans plusieurs domaines :
Du code sécurisé dès le départ. Les modèles de codage peuvent aider les développeurs à choisir des valeurs par défaut plus sûres, à utiliser correctement les bibliothèques de sécurité et à détecter les schémas risqués au fur et à mesure qu'ils écrivent. Prévenir les vulnérabilités pendant le développement signifie moins de correctifs d'urgence pour les mainteneurs et les utilisateurs.
Des logiciels à mémoire sûre. Migrer des composants critiques vers des langages à mémoire sûre peut éliminer des classes courantes d'erreurs de mémoire. L'IA peut aider aux migrations, avec des tests et une revue d'experts pour vérifier le comportement et la compatibilité.
Vérification formelle. Les preuves mathématiques peuvent démontrer que des composants critiques satisfont aux propriétés de sécurité spécifiées selon les hypothèses énoncées. L'application de ces méthodes aux composants largement utilisés pourrait aider à éliminer des classes de vulnérabilités dans l'ensemble des services et des infrastructures critiques qui en dépendent.
Isolation renforcée. Les systèmes doivent être protégés contre les vulnérabilités qui n'ont pas encore été découvertes ou corrigées. L'exécution de logiciels traitant des fichiers, des images ou des médias non fiables dans des sandboxes strictement restreintes peut limiter les dommages en cas de compromission. L'IA peut aider les ingénieurs à tester et à renforcer les technologies de sandboxing largement utilisées, améliorant ainsi les protections dans de nombreuses applications.
Aidez-nous à améliorer cette approche
Nous partageons notre approche afin que les mainteneurs, les chercheurs, les équipes d'intervention, les fournisseurs et les opérateurs puissent contribuer à la rendre applicable. Nous voulons comprendre où elle serait utile, où elle pourrait ajouter du délai ou de la charge, et ce que nous avons négligé. Des exemples issus de divulgations passées seraient particulièrement utiles.
Nous sommes particulièrement intéressés par :
Fenêtres de divulgation. De quel temps les mainteneurs, les opérateurs et les défenseurs ont-ils besoin pour préparer et déployer des correctifs fiables ? Quelles preuves devraient déclencher une divulgation plus précoce, surtout lorsque certains utilisateurs peuvent être protégés plus tôt que d'autres ?
Correctifs d'urgence. Quand, le cas échéant, les gouvernements ou d'autres opérateurs devraient-ils utiliser une vulnérabilité pour corriger des systèmes qu'ils possèdent ou qu'ils sont autorisés à administrer après avoir perdu l'accès administrateur ? Quelles garanties devraient s'appliquer ? Nous pouvons imaginer un état final de numérisation permanente à l'échelle d'Internet pour détecter les vulnérabilités connues, avec notification des propriétaires de sites lorsqu'une vulnérabilité est détectée, ou correction du système.
Avis préalable. Qui a besoin d'un avertissement préalable pour prendre une mesure de protection utile, y compris les défenseurs que nous pourrions négliger ? Quand les notifications échelonnées fonctionnent-elles mieux que la notification simultanée à un groupe plus large, et comment peser la couverture par rapport au risque de fuite ?
Paquetages logiciels sécurisés par défaut. Comment pouvons-nous aider à identifier et à corriger les vulnérabilités dans les paquetages en aval pendant que les correctifs en amont sont en attente, ou rétroporter les correctifs vers des versions plus anciennes qui ne reçoivent plus de mises à jour de sécurité ? Quels tests et quelle maintenance rendraient ces paquetages fiables lorsqu'une mise à niveau rapide n'est pas possible ?
Nous accueillons également les recommandations d'experts indépendants en sécurité capables d'examiner l'approche, de remettre en question ses hypothèses et d'identifier les lacunes. Votre contribution nous aidera à affiner la réponse et à prioriser le soutien. Partagez vos commentaires ici(ouvre dans une nouvelle fenêtre).