L’IA révèle des vulnérabilités critiques dans PHP et déclenche une alerte mondiale de cybersécurité

Une découverte qui redéfinit la course à la cybersécurité

L’intelligence artificielle a marqué un tournant dans la détection des failles de sécurité en révélant deux vulnérabilités critiques dans PHP, le langage de programmation qui fait fonctionner environ 70 % des sites web dans le monde. Ces failles, baptisées PHP2Shell et identifiées sous les références CVE-2026-109618 et CVE-2026-109619, permettaient à des attaquants de prendre le contrôle de serveurs sans mot de passe. Le plus alarmant est qu’elles étaient restées dissimulées dans le code pendant plus d’une décennie, période durant laquelle les capacités humaines d’audit de logiciels aussi complexes se sont révélées insuffisantes.

La découverte a été réalisée par des équipes de Wiz et de Calif, une entreprise de sécurité qui collabore au programme Patch the Planet d’OpenAI. Calif a repéré la première faille le 1er août à l’aide du modèle GPT-5.6 Sol, tandis que Wiz a découvert la seconde de manière indépendante le 19 août, en utilisant Gemini 4 Argon et son propre agent de recherche. Selon Wiz, un seul chercheur a accompli en une semaine ce qui aurait demandé des mois à une équipe d’élite, illustrant la manière dont l’IA accélère considérablement l’identification des risques dans le code source.

Réaction urgente des gouvernements et du secteur financier

La divulgation publique, le 21 octobre 2026, a déclenché une réaction immédiate à l’échelle mondiale. Face à la gravité de la menace, évaluée à 9,2 sur 10, les agences de cybersécurité des États-Unis, d’Europe et d’Asie ont émis des alertes critiques. L’Agence de sécurité nationale (NSA) des États-Unis a averti que la faille offrait une « voie directe » pour exploiter les bases de données des systèmes concernés, et a exhorté les organisations à mettre PHP à jour vers les versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou, à défaut, à déconnecter les services du réseau.

Les conséquences ont été concrètes dans les secteurs financier et gouvernemental. Au Japon, des banques comme MUFG et Mizuho ont temporairement suspendu les transactions en ligne et les applications mobiles par mesure de précaution, bien que le réseau national de règlement des fonds n’ait pas été touché. En Europe, des agences des Pays-Bas, de France, du Danemark et de Finlande ont mis hors ligne des sites publics. Au Royaume-Uni, le gouvernement a confirmé que 32 sites avaient été temporairement déconnectés, tandis qu’en Suisse, l’Université de Genève et d’autres institutions ont pris des précautions similaires. Wikimedia, l’organisation à l’origine de Wikipédia, a également désactivé plusieurs de ses systèmes.

Le double tranchant de l’IA en cybersécurité

Si l’IA a permis de découvrir ces failles avant qu’elles ne soient exploitées à grande échelle, elle pose aussi de nouveaux risques. OpenAI a averti que les mêmes modèles capables de repérer des vulnérabilités peuvent aider les attaquants à développer des outils offensifs et des exploits à une vitesse sans précédent. Matthew Prince, PDG de Cloudflare, a indiqué que, dans les premières heures suivant la divulgation, les tentatives d’exploitation étaient passées de milliers à des millions en quelques heures, même si aucune attaque réussie à grande échelle n’a été confirmée à ce jour.

Conséquences pour les entreprises et les utilisateurs

Pour les entreprises, le risque ne se limite pas à leurs principaux sites web. CISA (Agence de cybersécurité et de sécurité des infrastructures des États-Unis) a souligné que PHP est un composant courant de logiciels tiers, ce qui signifie que les organisations peuvent ignorer où il est utilisé. Une banque peut avoir sécurisé son système central de transactions, tandis que son portail client ou un prestataire externe reste exposé. Le périmètre de sécurité s’étend ainsi aux interfaces de gestion des appareils réseau, aux répartiteurs de charge et aux appareils embarqués, des éléments souvent oubliés lors des audits de sécurité.

Pour les utilisateurs finaux, les conséquences sont indirectes, mais elles appellent à la vigilance. Ken Munro, hacker éthique, a comparé l’application des correctifs à « l’exécution d’une mise à jour Windows ». Les propriétaires de sites web, notamment ceux qui utilisent WordPress ou Drupal, doivent contacter leur hébergeur ou leurs développeurs afin de vérifier que les correctifs ont été appliqués au cœur de PHP, car la mise à jour des extensions ne résout pas le problème. Les utilisateurs doivent se méfier des éventuels messages d’hameçonnage qui tireraient parti de la notoriété de l’incident et suivre les recommandations de sécurité des services qu’ils utilisent.

Un nouveau paradigme pour protéger les logiciels

Cet incident marque un changement de paradigme : la complexité des logiciels modernes dépasse les capacités des audits humains traditionnels. Comme l’a indiqué Salil Kanhere, chercheur à l’UNSW Sydney, « les bogues sous-jacents n’étaient pas nouveaux ; c’est notre capacité à les trouver qui a changé ». La vitesse à laquelle l’IA peut repérer et potentiellement exploiter des failles oblige les organisations à repenser leurs stratégies de sécurité et à passer d’un modèle réactif à un modèle où la détection continue et automatisée devient la norme. La leçon est claire : la sécurité numérique ne dépend plus seulement du code, mais aussi de la capacité à s’adapter aux technologies, qui évoluent au même rythme que les menaces.