Des failles critiques dans PHP repérées par l’IA mettent tout le web sous pression

Deux failles critiques dans PHP, identifiées grâce à l’intelligence artificielle, ont contraint entreprises et administrations à réagir dans l’urgence. Un avant-goût d’une période bien plus agitée, selon un ancien responsable de la cybersécurité américaine.

Ces derniers jours, des entreprises et des administrations du monde entier se sont mobilisées pour colmater deux failles critiques dans PHP, un langage informatique sur lequel repose une large part des sites internet. Ces failles ont été mises au jour grâce à l’intelligence artificielle. Depuis des mois, les spécialistes de la cybersécurité prévenaient que les modèles d’IA les plus performants savaient dénicher des failles inédites ou profondément enfouies. Cette fois, la menace a pris corps à grande échelle. Une bonne partie du web risquait de tomber aux mains de pirates, et des gouvernements ont préféré couper leurs sites le temps d’appliquer les correctifs.

Michael Daniel, qui coordonnait la cybersécurité à la présidence de Barack Obama et dirige désormais la Cyber Threat Alliance, un regroupement d’entreprises du secteur, y voit le début d’une période assez chaotique. Sa logique est simple. Si les modèles d’IA les plus avancés repèrent des failles vite et en masse, le résultat sera un déluge de failles. Il cite une formule de Rob Joyce, ancien de la NSA, qui évoque un grand incendie venu purifier les vieux logiciels. Pour lui, il faut désormais payer le prix de notre dette technique. Tout pousse à faire durer un logiciel le plus longtemps possible sans intégrer ces risques dans son coût réel. Ce coût n’apparaît pas dans les comptes, mais il est bien là, invisible jusqu’à ce qu’un épisode comme celui-ci le rende impossible à ignorer.

Concrètement, les organisations doivent se préparer à mettre leurs logiciels à jour, à les maintenir et à installer les correctifs dès leur publication. Le flux de failles, de rustines et de parades va s’intensifier, et toutes ne se valent pas. Les petites structures, qui manquent de moyens en interne, doivent s’organiser pour accepter au plus vite les mises à jour proposées par les éditeurs.

Autre point à garder en tête, seules 5 à 6% des failles sont réellement exploitées, et rien ne laisse penser que cette proportion grimpe. Mais le tempo a changé. Quand des pirates s’emparent d’une faille, ils vont beaucoup plus vite qu’avant. Il fallait un mois ou deux pour mettre au point une méthode d’attaque, puis autant pour qu’elle circule dans les boîtes à outils des malfaiteurs. Aujourd’hui, cela se compte en heures ou en jours. Même avant l’arrivée de Mythos, le premier modèle d’Anthropic réservé à des partenaires triés pour des raisons de sécurité, le système était déjà saturé. Personne ne pouvait corriger en permanence toutes les failles de tous ses logiciels. Le tri était déjà la norme. Il est simplement devenu bien plus délicat, et une erreur pèse plus lourd.

Du côté des grandes entreprises, le calcul évolue aussi. Comme l’exploitation d’une faille prenait du temps, la plupart ne toléraient aucun risque de panne et testaient un correctif sous toutes les coutures avant de le déployer. Ce luxe n’est plus possible. Mieux vaut parfois accepter une panne, même avec 1% de chances, que de rester exposé à une attaque capable de coûter 50 millions de dollars.

Reste la question de la fiabilité des outils d’IA. Le bruit est considérable. La faille PHP est un vrai cas d’école, mais beaucoup d’autres alertes sont fausses ou concernent des logiciels jamais accessibles depuis internet. Le tri doit donc s’améliorer.

Et pour la suite ? Dans deux ou trois ans, les logiciels passeront au crible de ces outils avant même d’être déployés, ce qui devrait faire émerger des produits plus solides dès le départ. C’est tout le sens de l’incendie. Les vieux logiciels partent en fumée et laissent la place à des logiciels mieux conçus. Cela ne règle pas les problèmes de cybersécurité, mais cela en transforme la nature.

À lire aussi

• 142 interpellations à Paris et un dispositif renforcé face aux casseurs
• Manifestations en France, une marée humaine qui tient tête aux interdictions
• Gilets jaunes, syndicats et lycéens de retour dans la rue, les préfectures serrent la vis