L’IA débusque des failles critiques dans PHP, le moteur de 70 % des sites web

Des modèles d’intelligence artificielle ont révélé des brèches restées cachées plus de dix ans dans PHP, le langage qui anime la majorité des sites internet. Des plateformes du monde entier ont été coupées par précaution le temps de boucher les trous.

PHP, c’est le moteur discret derrière une immense partie du web. Ce langage informatique, apparu au début des années 1990, fait tourner près de 70 % des sites de la planète. Son nom vient de « Personal Home Page », devenu par la suite « PHP Hypertext Preprocessor ». Contrairement aux pages statiques, qui servent toujours le même contenu, un site en PHP est dynamique. Il fabrique chaque page à la demande, en interrogeant une base de données, en vérifiant si l’internaute est bien connecté, en affichant des informations personnalisées ou en actualisant le contenu en direct.

La société de cybersécurité Wiz Research affirme s’être appuyée sur l’IA pour traquer des vulnérabilités demeurées invisibles dans PHP pendant plus de dix ans. En août, des modèles de pointe, ceux d’OpenAI et de Google notamment, ont été mobilisés par différents groupes pour dénicher ces points faibles. L’information est restée sous clé le temps qu’un correctif soit mis au point. OpenAI parle de « l’une des vulnérabilités les plus marquantes de ces dernières années » et y voit une bascule, avec désormais une IA capable de repérer des bugs de sécurité dont la portée touche internet tout entier.

Le souci, c’est que PHP irrigue des outils très répandus. On le retrouve au cœur de WordPress, Drupal ou PrestaShop, des plateformes populaires pour monter un site. Les brèches pourraient donc ouvrir la porte à des pirates sur un large éventail de sites, des boutiques en ligne aux services publics. D’où la mise hors ligne préventive de nombreuses pages, le temps que les développeurs renforcent le code. « Le problème avec des outils comme l’IA, c’est qu’au moment où toute l’information est rendue publique, les gens peuvent la transformer en arme extrêmement rapidement », lance Steve Kerrison, maître de conférences en cybersécurité à l’Université James Cook, campus de Singapour. « C’est pour ça que tout le monde agit avec une telle urgence. »

Couper un site ne rime pas forcément avec piratage. « Mettre des sites web hors ligne ne signifie pas nécessairement qu’ils ont été piratés. Cela peut être une mesure responsable pour protéger les systèmes pendant l’application des mises à jour de sécurité », explique Dimitrios Salampasis, de la Swinburne University of Technology en Australie. Reste que le danger est réel. Selon l’Agence de sécurité nationale américaine, les failles repérées « offrent souvent un accès direct au système de fichiers ou à la base de données du serveur », de quoi prendre la main sur une machine sans même taper un mot de passe. Jusqu’ici, les chercheurs n’ont pas repéré d’attaque active qui exploiterait ces techniques.

Les grosses structures, des agences gouvernementales aux médias, devraient se mettre à jour assez vite. D’autres risquent de traîner. « Certains sites, systèmes et personnes n’auront absolument aucune idée de ce qui se passe et resteront dans l’ignorance pendant des jours, des semaines, voire des mois », prévient Steve Kerrison. Des blogs ou des sites administrés à la hâte pourraient alors servir de relais à des virus, du spam ou des contenus malveillants.

La toile est un enchevêtrement de services qui s’appuient souvent sur des interfaces tierces. Certaines failles peuvent donc survivre même une fois le problème d’origine réglé. Si ces interfaces tournent sous PHP, « alors même si vous vous êtes corrigés… vous restez vulnérables », souligne Rahat Masood, maître de conférences en cybersécurité à l’Université de Nouvelle-Galles du Sud à Sydney. Et PHP n’est qu’une brique parmi d’autres. Une protection solide repose sur plusieurs couches de défense, rappelle Steve Kerrison.

À lire aussi

• Pouvoir d’achat, Parcoursup, fiscalité, ce que les manifestants réclament vraiment
• À Bobigny, des mineurs ont dormi sur le sol avec une couverture de survie pour tout confort
• Fausses infos médicales, le ministère lance son observatoire et mise sur TikTok