Trust Me Bro Then Websites Went Offline (The php2shell story) | Threat Wire

Le transcript décrit une crise majeure de cybersécurité déclenchée par la découverte de vulnérabilités critiques dans PHP. Tout a commencé avec une publication sur Hacker News annonçant deux CVE potentielles avec des scores CVSS de 10.0, affectant toutes les versions de PHP depuis la 5. Cela a provoqué une ruée mondiale des chercheurs et des hackers pour trouver des preuves de concept (POC). Cependant, une grande partie des POC publiés étaient faux, générés par IA, et ne permettaient pas réellement l'exécution de code à distance (RCE). Pendant environ 48 heures, une confusion générale a régné avant que la PHP Foundation ne publie les correctifs. Initialement prévus pour le 22 octobre, les correctifs ont été avancés au 21 octobre en raison du tollé. Un incident notable fut la rupture d'embargo par Chainguard, qui a publié des images contenant le correctif six heures avant la divulgation coordonnée. Le PDG de Chainguard a affirmé avoir découvert les vulnérabilités en demandant simplement à un modèle IA de trouver des "graves vulnérabilités dans PHP". En réponse à ce chaos et à l'incertitude, de nombreux sites web, y compris ceux de Pokémon, DeviantArt et même des sites gouvernementaux, ont été mis hors ligne ou en mode lecture seule. Selon Sensus, près de 43 millions de services étaient affectés avant la sortie des correctifs. Le transcript mentionne également des découvertes antérieures par les équipes Wiz et Khalif, et une certaine controverse quant à l'attribution du mérite. L'événement a attiré l'attention du grand public, certains commentateurs admettant même ignorer l'existence de PHP.