Une faille de sécurité critique menace des millions de sites internet dans le monde. Cette vulnérabilité, qui est restée dissimulée pendant plus de dix ans, touche PHP, un langage de programmation fondamental pour le web.
Les gouvernements et les entreprises s’efforcent désormais de mettre à jour leurs systèmes pour éviter des attaques catastrophiques. Face à l’urgence, de nombreuses organisations ont choisi de suspendre complètement leurs sites le temps d’appliquer les correctifs nécessaires.
Ces deux failles majeures ont été découvertes par des agents d’intelligence artificielle. Les pirates informatiques tentent déjà d’exploiter ces faiblesses à l’aide d’outils d’IA, ce qui accélère considérablement la course contre la montre.
Le langage PHP, lancé en 1995, fonctionne en assemblant le contenu des pages sur un serveur avant de l’envoyer au navigateur de l’internaute. C’est un logiciel libre et gratuit, maintenu par des bénévoles. Selon les données du tracker W3Techs, près de 70 % des sites web identifiables utilisent ce langage.
Il constitue le moteur de WordPress, la plateforme qui fait tourner environ 40 % de tous les sites internet, qu’il s’agisse de blogs, de pages de petites entreprises, de portails gouvernementaux, de boutiques en ligne ou de sites d’information.
L’ampleur des risques
Les deux vulnérabilités obtiennent un score de 9,2 sur 10 sur l’échelle de sévérité CVSS v4.0, qui est la référence du secteur. L’équipe de réponse aux urgences informatiques de l’Union européenne, le CERT-EU, a précisé que ce score signale une exécution de code à distance sans authentification. Un attaquant peut donc lancer des commandes sur un serveur vulnérable via internet, sans avoir besoin d’un mot de passe ou d’un compte.
Une seule faille dans PHP ouvre cette porte simultanément sur des millions de serveurs. Celui qui exploite la faille prend le contrôle total du site web. L’hébergeur GoDaddy a averti que les conséquences pouvaient inclure le vol de données, la défiguration des pages ou la compromission complète du système. Le directeur technique de Cloudflare a confirmé que les premières attaques avaient commencé.
La majorité des petits sites sont gérés par des propriétaires qui n’ont pas d’équipe de sécurité dédiée. Ils sont souvent hébergés sur des serveurs partagés où ils ne gèrent pas les mises à jour de PHP. Le plugin de sécurité Wordfence pour WordPress a averti que les mises à jour automatiques habituelles ne suffiraient pas à appliquer ce correctif. Le CERT-EU recommande même de mettre hors ligne les sites affectés si le correctif ne peut être appliqué immédiatement.
La découverte par l’intelligence artificielle
Des chercheurs de la société de sécurité Calif, en collaboration avec OpenAI, ont signalé la première faille le 11 août après l’avoir découverte grâce au modèle GPT-5.6 Sol d’OpenAI. La firme de sécurité Wiz, qui appartient à Alphabet (Google), a trouvé les failles de manière indépendante et a rapporté une seconde vulnérabilité le 24 août, également en utilisant des modèles d’IA.
La société Wiz a déclaré que ces découvertes figuraient « parmi les vulnérabilités les plus graves jamais découvertes dans PHP, et probablement dans l’histoire du logiciel ». Les failles sous-jacentes étaient présentes depuis des décennies, mais démontrer qu’elles étaient exploitables exigeait une chaîne de raisonnements « à la limite de ce que des chercheurs humains pouvaient réaliser en pratique ».
L’impact mondial
Un ministre britannique a confirmé jeudi que 32 services gouvernementaux étaient hors ligne et que quatre autres étaient partiellement indisponibles à cause de cette faille de sécurité dans PHP. Le gouvernement a précisé qu’aucun service public majeur et critique n’avait été touché.
Les sites web gouvernementaux de plusieurs nations européennes ont aussi été mis hors ligne mercredi alors que les administrateurs tentaient de colmater ces deux brèches critiques. Après l’annonce des correctifs par les développeurs de PHP, les responsables européens de la cybersécurité ont conseillé aux organisations de déconnecter les sites affectés si les correctifs ne pouvaient être appliqués sur-le-champ.
Selon Cloudflare, qui protège des millions de sites contre les cyberattaques, près de 70 % de tous les sites web étaient concernés. Son directeur général, Matthew Prince, a aussi révélé que des millions de tentatives de piratage avaient été lancées depuis que les méthodes d’exploitation ont été partagées.
« Dans les 10 heures avant l’annonce publique, nous avons observé des milliers de tentatives d’exploitation sur notre réseau », a-t-il déclaré. « Ce nombre est passé à des dizaines de milliers dans les 45 minutes suivant l’annonce, à des centaines de milliers en moins de 2 heures, et à des millions maintenant. »