L'IA vient de révéler une faille qui menace Internet

Le 21 octobre 2026, une faille critique dans PHP, un langage de programmation omniprésent sur le web, a provoqué une réaction en chaîne sans précédent. Des sites gouvernementaux en France, au Japon et en Finlande ont été coupés ou mis en maintenance par précaution, tout comme des services de grandes banques et compagnies aériennes. Cette situation n'était pas due à un piratage massif, mais à la découverte de deux failles, surnommées PHP to Shell, d'une gravité de 9,2 sur 10. Ces failles permettaient l'exécution de code arbitraire sur des serveurs, sans authentification, offrant un contrôle total à un attaquant. La particularité de cet événement réside dans le rôle de l'intelligence artificielle. Les failles, bien que présentes dans le code PHP depuis plus de dix ans, n'avaient jamais été exploitées car jugées trop complexes. Cependant, des chercheurs ont utilisé des modèles d'IA comme Gemini et GPT pour les identifier, développer des exploits et tester les correctifs en une semaine, un travail qui aurait auparavant pris des mois à une équipe humaine. L'IA a ainsi abaissé la barrière de complexité, rendant exploitables des vulnérabilités anciennes et négligées. Le correctif d'urgence a été publié le 21 octobre, mais la course contre la montre a commencé. Les grands hébergeurs ont réagi rapidement, mais des milliers de serveurs moins bien gérés, utilisant des versions obsolètes de PHP (8.1 et antérieures), restent vulnérables. Ces anciennes versions ne reçoivent plus de mises à jour officielles et nécessitent une migration complexe, impossible à réaliser rapidement. Matthew Prince de Cloudflare a rapporté des millions de tentatives d'exploitation dans les heures suivant l'annonce, bien qu'aucun piratage réussi n'ait été confirmé publiquement à ce jour. Les experts s'attendent néanmoins à une vague d'incidents, rappelant les épidémies de WannaCry en 2017 et Log4Shell en 2021, où des correctifs existaient mais n'avaient pas été appliqués partout. Le scénario initial d'une panne bancaire, bien que fictionnel, illustre le risque. Les banques, comme MUFG au Japon, ont déjà suspendu des services par précaution. Une attaque réussie, combinée à la désinformation sur les réseaux sociaux, pourrait ébranler la confiance et provoquer une panique économique, comme ce fut le cas avec la Silicon Valley Bank en 2023. Le danger ne vient pas seulement d'attaques sophistiquées, mais de la dépendance à des briques logicielles communes. Une seule faille peut entraîner un effet domino sur des systèmes interconnectés. À long terme, l'équilibre entre attaque et défense sera crucial. Si l'IA continue d'accélérer la découverte de failles, la capacité à les corriger sur des millions de serveurs ne suivra pas. Cependant, l'optimisme demeure car Internet est un réseau distribué avec des redondances. Les banques disposent de systèmes de secours robustes, et la défense, elle aussi, progresse rapidement, comme en témoigne la protection précoce offerte par Cloudflare. À court terme, de nombreux serveurs oubliés seront piratés, affectant les petites structures. À moyen terme, les méthodes de mise à jour devront évoluer pour faire face à des attaques antérieures aux correctifs. Enfin, à long terme, l'enjeu sera de s'assurer que l'IA serve d'abord les défenseurs, afin d'éviter une explosion du nombre de failles exploitables.