La National Security Agency des États-Unis a envoyé un avertissement alarmant mercredi indiquant que deux failles critiques avaient été découvertes dans PHP, avec des correctifs déjà publiés par la PHP Foundation.
PHP est un langage de programmation côté serveur si largement utilisé pour les applications web qu'il propulse environ 70% des sites web sur internet ; selon certaines estimations, cela représente plus de 33 millions de sites. Il est également utilisé par des systèmes de gestion de contenu populaires comme WordPress.
La NSA a averti que ces failles sont si graves que si un site web ne peut pas être corrigé immédiatement, il doit être retiré du web jusqu'à ce que ce soit possible. Ces failles permettent aux attaquants de s'infiltrer dans le système de fichiers du serveur ou dans une base de données pouvant être utilisée par l'application web.
Fait intéressant, ces failles se sont trouvées dissimulées dans toutes les versions de PHP depuis la version 5, sortie en 2004. Les sites web n'exécutant pas des versions relativement récentes de PHP auront du travail de mise à jour à faire, car PHP 8.1 et les versions antérieures ne sont plus pris en charge. La recommandation est de mettre à jour le serveur web vers la version actuelle de PHP, à savoir 8.5.12.
Alors, comment deux failles aussi omniprésentes et vieilles de décennies, qui touchent presque tous les sites web d'internet, ont-elles soudainement vu le jour ? Grâce à l'IA, naturellement, notamment via OpenAI et Wiz de Google.
La société de tests de sécurité Calif participait à l'initiative « Patch the Planet » d'OpenAI visant à trouver des failles dans les logiciels open source. En utilisant GPT‑5.6 Sol, elle a découvert l'une des failles, a révélé OpenAI dans un article de blog. Parallèlement, l'équipe de Wiz a également utilisé l'IA, à savoir son agent de sécurité IA Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol, pour trouver de multiples vulnérabilités dans PHP.
OpenAI et Wiz ont tous deux suivi les pratiques responsables de recherche en sécurité et travaillé avec PHP sur les correctifs avant de divulguer publiquement les failles. Ils ont ensuite tous collaboré pour approfondir leurs découvertes et tester les correctifs, en faisant appel à toute une série d'autres acteurs pour aider.
Wiz a remercié Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft et Vercel. (Bien que les sites WordPress utilisent PHP, WordPress a publié une déclaration indiquant que la faille n'est pas spécifique à WordPress, et que les sites exécutant son CMS doivent corriger leurs serveurs et travailler avec leurs hébergeurs web pour s'assurer que leurs sites sont protégés.)
OpenAI affirme que ces failles ont été découvertes par des chercheurs avant que des pirates ne les trouvent. Il n'y a donc eu aucun signalement d'exploitation sauvage. Cela s'explique en partie par le fait que, avant l'IA, ces failles étaient trop difficiles à exploiter pour les pirates. « Avec l'IA, ce n'est plus un obstacle. Les LLM peuvent aider à adapter un exploit à différentes versions de PHP, configurations et dispositions mémoire », a averti Wiz dans son blog au sujet de ces failles.
En d'autres termes, c'est le genre de problème de sécurité qui a été découvert et prévenu grâce à l'IA, mais qui constitue également un risque élevé uniquement à cause de l'IA.
Maintenant que le problème a été divulgué, les pirates sont pleinement informés. La course est lancée pour qu'internet corrige des dizaines de millions de sites web avant que les pirates ne puissent attaquer ceux qui ne sont pas corrigés. D'où les conseils de la NSA : si vous ne pouvez pas corriger votre site PHP immédiatement, il vaut mieux le mettre hors ligne jusqu'à ce que vous puissiez le faire.