Des modèles d'IA ont débusqué ce qu'OpenAI présente comme "l'un des bugs de sécurité les plus graves", caché dans PHP depuis dix ans, poussant des sites, de Pokémon Sleep au Parlement néerlandais, à se mettre hors ligne face aux pirates.
L'intelligence artificielle a mis au jour deux failles de sécurité critiques dans PHP, un langage de programmation qui fait tourner discrètement la majeure partie d'internet, poussant des organisations du monde entier à se précipiter pour fermer des sites web avant que des pirates ne puissent les exploiter.
PUBLICITÉ
PUBLICITÉ
Ces bogues sont restés invisibles dans le code de PHP pendant plus d'une décennie. Il a fallu des modèles d'IA de pointe d'OpenAI et de Google pour transformer une faiblesse soupçonnée de longue date en attaque opérationnelle — et, désormais, une course s'est engagée pour refermer la porte.
Alors que les capacités de l'IA progressent rapidement et alimentent les inquiétudes sur une nouvelle ère de cyberattaques, voici ce qu'il faut savoir.
L'Europe réagit
Les Pays-Bas ont mis hors ligne leur système d'identité numérique DigiD, le portail gouvernemental Overheid.nl et le site de la chambre basse du parlement, tandis que le port de Rotterdam, des hôpitaux et les cinq plus grands partis politiques du pays ont suivi le mouvement.
Même le Centre national néerlandais de cybersécurité a désactivé son propre site.
Le prestataire informatique public finlandais Valtori a coupé l'ensemble des services web gouvernementaux "par mesure de précaution", le ministère français de l'Intérieur a basculé les sites des collectivités locales en mode maintenance et le service informatique fédéral allemand ITZBund a mis plusieurs portails hors ligne.
CERT-EU, le service de cybersécurité des institutions de l'UE, est allé plus loin que la plupart en demandant à toute organisation incapable d'installer le correctif immédiatement de mettre ses sites hors ligne plutôt que de prendre le risque d'être piratée.
La Commission européenne, l'ENISA, CERT-EU, Europol et le réseau des équipes nationales de réponse aux incidents cyber de l'UE ont également publié une déclaration commune appelant les organisations à agir sans délai, en donnant la priorité aux systèmes exposés sur internet.
Qu'est-ce que PHP et pourquoi est-ce important ?
Créé au début des années 1990, PHP est un nom qui signifiait à l'origine Personal Home Page et désigne le code qui fonctionne en coulisses sur environ sept sites web sur 10, selon la société de sécurité Wiz Research, qui le décrit comme "une colonne vertébrale du web".
Alors que des langages comme HTML gèrent ce que vous voyez sur une page, PHP s'occupe de ce que vous ne voyez pas, comme la vérification des identifiants, le traitement des paiements, la mise à disposition des contenus.
Il fait fonctionner WordPress, Drupal et Joomla, les plateformes qui alimentent tout, des blogs personnels aux boutiques en ligne et aux portails gouvernementaux.
C'est cette omniprésence qui transforme deux bogues en événement mondial. Wiz affirme que toutes les versions de PHP publiées au cours de la dernière décennie sont affectées par au moins l'une des failles et que même une simple page "Hello World" sur un serveur non corrigé pourrait être vulnérable.
Un correctif a été publié mercredi, la PHP Foundation indiquant aux services informatiques du monde entier que "si vous utilisez PHP, il est impératif de le mettre à jour dès maintenant".
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Toute version plus ancienne ne reçoit plus de mises à jour officielles et doit être considérée comme exposée, sauf si un fournisseur a rétroporté le correctif, a averti l'équipe de réponse d'urgence en cybersécurité de l'Union européenne (CERT-EU) dans un avis.
Il en résulte une vague d'applications et de sites qui s'éteignent, du site de la préfecture de police de Paris à un outil de suivi du sommeil Pokémon, à mesure que les développeurs corrigent leur code sous-jacent. Des sites gouvernementaux dans toute l'Europe font partie de ceux qui ont été mis hors ligne par précaution.
Comment l'IA a-t-elle découvert ces failles ?
Les deux vulnérabilités, répertoriées sous les références CVE-2026-109618 et CVE-2026-109619 et notées 9,2 sur 10 en termes de gravité, se situent dans les parties de PHP que presque chaque requête sollicite, à savoir la gestion de la mémoire et le traitement des erreurs.
Si une requête web atteint la limite de mémoire de PHP au mauvais moment, le logiciel peut être trompé et exécuter le code d'un attaquant sans aucune authentification.
La PHP Foundation reconnaît que ses propres développeurs ont d'abord repéré des signes du problème en 2024, lors d'un audit externe.
Un exploit théorique a été esquissé, mais faute de voie concrète vers une attaque et avec une petite équipe centrale pesant les compromis d'un correctif, les travaux ont été interrompus puis relancés pendant des mois. La fondation a qualifié ce retard de "échec structurel".
Puis l'IA est entrée en jeu. En août, la société de sécurité Calif, qui menait un audit du code source de PHP financé par OpenAI et utilisait le modèle GPT-5.6 Sol d'OpenAI, a signalé une attaque à distance pleinement fonctionnelle avec la même cause profonde.
OpenAI a signalé de manière indépendante le même problème le même jour. Wiz a ensuite présenté d'autres vecteurs d'attaque deux semaines plus tard, en utilisant son propre outil Wiz Atlas ainsi que Gemini 4 Argon de Google et GPT-5.6 Sol.
"Avec des modèles d'IA de pointe et les bons outils, un seul chercheur a accompli en une semaine ce qui aurait auparavant demandé des mois de travail à une équipe de niveau mondial", ont écrit les chercheurs de Wiz.
OpenAI a qualifié cette découverte de "l'une des vulnérabilités les plus marquantes de ces dernières années", ajoutant qu'elle "marque une nouvelle phase, où l'IA peut trouver des failles de sécurité avec un impact à l'échelle d'internet".
Les conclusions ont été gardées secrètes le temps de développer un correctif.
Puis, mardi après-midi, les deux identifiants CVE ont fuité sur des forums en ligne et les réseaux sociaux.
PHP a avancé sa publication d'un jour et Calif a, par erreur, mis en ligne — puis supprimé — une vidéo montrant son code de démonstration fonctionner contre plusieurs cibles, a indiqué la PHP Foundation. Des copies se sont rapidement propagées.
"Le problème avec des outils comme l'IA, c'est qu'au moment où toutes les informations sont disponibles, les gens peuvent les transformer en armes très, très rapidement", a déclaré à l'AFP Steve Kerrison, maître de conférences en cybersécurité sur le campus de Singapour de l'université James Cook.
"C'est pourquoi tout le monde réagit avec une telle urgence pour répondre à ce problème."
Des sites ont-ils déjà été piratés ?
Pas forcément. "Mettre des sites hors ligne ne signifie pas nécessairement qu'ils ont été piratés. Cela peut être une mesure responsable pour protéger les systèmes pendant l'application des mises à jour de sécurité", a expliqué Dimitrios Salampasis, de la Swinburne University of Technology en Australie.
La PHP Foundation a indiqué que son équipe de sécurité avait examiné le code de démonstration qui circulait après la fuite et n'avait trouvé aucun exploit fonctionnel au moment de la publication.
"Les éléments que voient les chercheurs en sécurité indiquent que personne ne menait activement des attaques en utilisant les techniques disponibles", a précisé Kerrison.
Le tableau évolue cependant. La société d'infrastructures web Cloudflare a indiqué mercredi avoir observé un trafic d'attaque visant ses clients, et CERT-EU a averti que la diffusion publique de détails techniques accroît la probabilité que des attaquants testent déjà les failles.
Les grandes institutions, des agences gouvernementales aux médias, devraient pouvoir appliquer le correctif relativement rapidement. D'autres pourraient rester exposées beaucoup plus longtemps.
"Il existe des sites, des systèmes et des personnes qui n'auront aucune idée de ce qui se passe et qui ne seront toujours pas au courant dans les jours, les semaines et les mois à venir", a mis en garde Kerrison.
Cela pourrait concerner des blogs gérés par des particuliers et des sites de petites entreprises, que des pirates pourraient détourner pour diffuser des virus informatiques, envoyer du spam ou héberger des contenus malveillants.
Pourrait-il y avoir d'autres conséquences ?
Tout vol de données pourrait continuer à hanter les clients longtemps après le correctif si leurs informations personnelles sont récoltées pour des attaques de phishing — dans lesquelles quelqu'un est amené à révéler un mot de passe ou des coordonnées de paiement.
La nature complexe et interconnectée des systèmes en ligne signifie aussi que le risque ne disparaît pas lorsque vous mettez à jour votre propre serveur. De nombreux sites dépendent de services tiers qui peuvent eux-mêmes utiliser PHP.
Si ces tiers tardent à appliquer le correctif, "alors même si vous avez corrigé votre propre système … vous restez vulnérable", a expliqué Rahat Masood, maître de conférences en cybersécurité à l'université de Nouvelle-Galles du Sud à Sydney.
PHP n'est pas toute l'histoire, a ajouté Kerrison. Une cybersécurité solide repose sur plusieurs couches de défense, afin qu'une seule serrure cassée ne suffise pas à ouvrir toutes les portes.
La PHP Foundation, de son côté, utilise cet épisode pour lancer un appel appuyé. Le langage fait tourner des services publics, des banques et des boutiques en ligne dans le monde entier, mais sa sécurité repose encore sur un petit groupe de développeurs financés par la fondation et de bénévoles.
Les outils peuvent désormais trouver des bogues plus vite que jamais, a-t-elle souligné, mais décider de la manière de les corriger sans casser le web nécessite des ingénieurs expérimentés.