Deux failles critiques dans PHP, le langage de programmation qui fait tourner environ 70 % des sites web, ont déclenché cette semaine une course mondiale aux correctifs après que des chercheurs ont montré que les bugs pouvaient donner aux attaquants le contrôle de serveurs sans mot de passe.
Les failles ont été découvertes à l'aide de modèles OpenAI, en collaboration avec les sociétés de sécurité Wiz et Calif. Le groupe a surnommé l'ensemble de bugs PHP2Shell. L'une des failles était présente dans le langage depuis 14 ans.
Ce que la faille permet
Les attaquants pouvaient prendre le contrôle des serveurs web affectés sans authentification et lire la mémoire susceptible de contenir des mots de passe et des données de session. Comme PHP sous-tend WordPress, Drupal et une longue liste de sites personnalisés, l'exposition touche les hôpitaux, les détaillants et les portails gouvernementaux, et pas seulement les entreprises technologiques.
Wiz a comparé la gravité à Heartbleed, le bug de chiffrement de 2014 qui avait exposé des données sur une grande partie du web. Les chercheurs ont indiqué que la faille est suffisamment complexe pour se situer à la limite de ce que des analystes humains pourraient exploiter, et facile pour un agent d'IA capable d'exécuter seul les étapes d'attaque.
Qui a demandé aux organisations d'agir
La National Security Agency américaine et l'agence de cybersécurité de l'Union européenne ont conseillé une correction immédiate. Toutes deux ont indiqué que les systèmes qui ne peuvent pas être mis à jour rapidement devraient être mis hors ligne. Certains sites gouvernementaux européens l'ont fait, et des parties de leurs services publics sont restées hors service pendant une journée.
Le directeur technique de Cloudflare, Dane Knecht, a déclaré que l'entreprise avait observé des tentatives d'attaque précoces avant que le correctif ne soit public. OpenAI a publié un outil que les administrateurs peuvent exécuter pour vérifier si une installation est exposée.
Pourquoi la divulgation a été précipitée
Des détails ont fuité en ligne cette semaine, forçant les mainteneurs de PHP à publier l'avis et la mise à jour plus tôt que prévu. Cela a réduit l'écart entre l'avertissement et l'exploitation, un écart sur lequel les défenseurs comptent le plus.
L'épisode joue dans les deux sens. L'IA a trouvé un bug que des années de relecture humaine avaient manqué, et la même capacité peut aider les attaquants à écrire des exploits plus vite. Les équipes de sécurité font désormais face à un test simple : corriger, ou déconnecter.