Selon une analyse de Cloudflare citée par WIRED, des millions de tentatives d’exploitation de nouvelles vulnérabilités de PHP ont été enregistrées dans les heures suivant leur divulgation publique. Regroupées sous le nom de PHP2Shell, ces failles ont poussé les équipes de sécurité et les administrateurs de sites web à déployer rapidement des correctifs.
À ce jour, aucune attaque de grande ampleur n’a été signalée. La PHP Foundation indique n’avoir constaté aucune exploitation réussie de ces failles, et de nombreux exploits qui circulent publiquement semblent inefficaces. WIRED ne précise pas les versions de PHP concernées ni les instructions pour installer les correctifs.
L’IA a aidé les chercheurs à trouver une faille
Des chercheurs de l’entreprise de sécurité Calif ont été les premiers à repérer les vulnérabilités et à mettre au point des exploits, début août. Ils ont notamment utilisé des outils d’IA de pointe dans le cadre du programme Patch the Planet d’OpenAI. Leur travail s’est aussi appuyé sur leur expertise de PHP. Des chercheurs d’OpenAI et de Wiz, propriété de Google, ont ensuite découvert indépendamment des failles PHP2Shell à l’aide d’outils d’IA.
Certains problèmes sous-jacents avaient été repérés en 2024, mais étaient alors jugés trop difficiles à exploiter. Sagi Tzadik, chercheur chez Wiz, a déclaré que l’équipe PHP connaissait la vulnérabilité depuis des années, sans y remédier, car un attaquant humain ne pouvait pas l’exploiter. L’IA a rendu exploitable une faille jusque-là impraticable.
Une pression accrue, pas du piratage automatique
Cet épisode montre que l’IA peut accélérer l’analyse et l’exploitation des vulnérabilités, ce qui accroît la pression sur les équipes de sécurité qui doivent déjà gérer un grand nombre de failles. WIRED relève que les mises à jour de sécurité de Microsoft comprenaient un nombre record de 1,453 vulnérabilités ce mois-là et que Bank of America a embauché 1,000 consultants pour corriger des failles détectées par Mythos, l’outil d’Anthropic.
Les chercheurs cités par WIRED mettent en garde contre l’idée que l’IA permettra de débusquer toutes les anciennes failles. Ryan Austin, chercheur chez Calif, a déclaré qu’aucun modèle ne peut trouver toutes les failles à l’aide de simples instructions ; d’autres experts ont souligné que la découverte concernant PHP nécessitait une équipe compétente. Un chercheur a également rappelé que PHP est largement exposé à Internet, ce qui en fait une cible inhabituelle et ne prouve pas que toutes les anciennes failles logicielles vont devenir exploitables.
Pourquoi c'est important
Pour les administrateurs de systèmes PHP, le récit de WIRED rappelle qu’il faut prendre au sérieux les failles divulguées publiquement : les tentatives ont commencé rapidement, même si aucune attaque réussie n’a été signalée. WIRED ne précisant ni les versions concernées ni les correctifs, les administrateurs devront consulter les recommandations officielles de PHP plutôt que de supposer que leurs systèmes sont exposés ou à l’abri.
