Failles PHP découvertes par l’IA : des milliers de sites publics coupés par précaution

Mercredi 21 octobre, une partie du web public européen s’est volontairement éteinte. En cause, deux vulnérabilités jugées critiques dans PHP, le langage de programmation qui fait le lien entre un site et le serveur hébergeant ses bases de données. La fondation PHP, qui pilote les évolutions du langage, a publié dans la matinée une note les signalant. Dans la foulée, l’agence américaine NSA et le Centre national britannique de cybersécurité (NCSC) ont recommandé à tous les sites concernés de se déconnecter tant que la mise à jour n’était pas appliquée. L’AFP y voit “une illustration de la nouvelle donne qu’impose l’IA à la cybersécurité”.

Les préfectures françaises mises hors ligne

En France, l’Agence nationale de la sécurité des systèmes d’information (Anssi) a demandé la suspension de nombreuses plateformes, dont les sites de l’ensemble des préfectures. Le mouvement a été largement européen. En Finlande, le portail gouvernemental a reconnu que les sites de l’État étaient totalement ou partiellement inaccessibles. Des services publics et des sites de collectivités ont également été coupés au Royaume-Uni, en Allemagne, au Danemark, aux Pays-Bas et en Belgique.

L’ampleur de la précaution s’explique par la place qu’occupe PHP. Créé au début des années 1990 par le programmeur canado-danois Rasmus Lerdorf, le langage fait tourner environ 70 % du web mondial selon Sagi Tzadik, chercheur chez Wiz. Palo Alto Networks a pour sa part recensé 22 millions de plateformes exposées aux deux failles.

L’IA, nouvelle chasseuse de vulnérabilités

L’origine de la découverte retient tout autant l’attention que ses conséquences. OpenAI a indiqué que les failles avaient été identifiées par la société de sécurité Calif à l’aide de GPT-5.6 Sol, l’un de ses modèles les plus récents. L’entreprise estime qu’il s’agit, au regard de leur gravité et de la diffusion de PHP, de l’un des problèmes de sécurité informatique au plus fort impact de ces dernières années. Wiz, filiale de Google, a de son côté repéré les mêmes lacunes, sans préciser quels modèles elle avait mobilisés.

OpenAI souligne que l’IA permet désormais de révéler des brèches dont les effets touchent l’ensemble d’internet, tout en reconnaissant que ces mêmes capacités peuvent aider des attaquants à concevoir rapidement leurs offensives. Selon l’AFP, l’IA a franchi un palier cette année sur ce terrain, au point qu’Anthropic a choisi de ne pas commercialiser largement son modèle Mythos, jugé trop risqué pour la cybersécurité. Le principal concurrent d’OpenAI l’a réservé à une poignée d’organisations chargées de corriger les failles qu’il avait détectées.

Le phénomène joue dans les deux sens. L’IA démultiplie la capacité à trouver des faiblesses dans le code, mais elle réduit aussi drastiquement le temps dont disposent les organisations exposées pour réagir. Des pirates outillés peuvent viser beaucoup plus de cibles, en beaucoup moins de temps.

Deux alertes majeures en 24 heures

L’épisode PHP intervient au lendemain d’une autre alerte, mardi, portant sur TLS, le protocole de chiffrement qui garantit la confidentialité et l’intégrité des échanges en ligne. Plusieurs cas ont montré que des attaquants pouvaient usurper l’identité d’un utilisateur et déchiffrer ses communications. Sur X, Matthew Prince, patron de Cloudflare, a résumé la situation en notant que deux catégories de vulnérabilités extrêmement graves avaient été révélées en une journée, la première concernant tous les internautes, la seconde quasiment tous les exploitants de serveurs.

La panne Orange, une coïncidence de calendrier

Pour de nombreux Français, cette journée de mercredi restera aussi celle de la panne Orange. Le réseau mobile de l’opérateur a lâché en fin de matinée, avec près de 12 000 signalements sur Downdetector, avant que l’opérateur n’annonce mercredi soir le rétablissement de son réseau. La concomitance a pu alimenter les spéculations, mais les deux incidents n’ont rien à voir. Orange a attribué la coupure à la défaillance d’un équipement de son cœur de réseau mobile, sans aucun lien avec les failles PHP ou TLS. Le hasard du calendrier rappelle toutefois à quel point les infrastructures numériques dont dépendent services publics et entreprises restent vulnérables, qu’il s’agisse de code ou de matériel.