Des IA ont trouvé une faille dans PHP, la technologie qui fait tourner 7 sites web sur 10
Mercredi, des sites publics ont été coupés en urgence en Europe. En cause, 2 failles graves découvertes avec l’aide de l’IA dans PHP, le langage sur lequel repose WordPress.
PHP est un langage informatique (la technologie qui fabrique les pages d’un site au moment où vous les ouvrez). Il fait tourner environ 70 % des sites web, dont ceux construits avec WordPress, Drupal ou Joomla. Les 2 failles, baptisées PHP2Shell, permettent à un pirate de prendre le contrôle d’un serveur à distance, sans aucun mot de passe. Presque toutes les versions de PHP publiées depuis 10 ans sont concernées.
Elles ont été trouvées avec l’aide de l’IA. L’entreprise de cybersécurité Wiz s’est servie de Gemini et de GPT-5.6 Sol, un modèle d’OpenAI, pour repérer les bugs puis fabriquer en quelques heures des attaques qui fonctionnent sur WordPress. Wiz a prévenu l’équipe de PHP le 24 août et le correctif est sorti mercredi 21 octobre. Le jour même, la Finlande a coupé une partie de ses sites publics par précaution, et Amazon Web Services signalait déjà des attaques en cours.
Les experts redoutent la suite : ce que l’IA a permis aux chercheurs, elle le permettra bientôt aux pirates. Pour un entrepreneur, la consigne est simple et urgente. Si votre site tourne sous WordPress ou une autre solution en PHP, demandez dès aujourd’hui à votre hébergeur ou à votre prestataire si la mise à jour de PHP est faite. C’est souvent l’hébergeur qui s’en charge, mais mieux vaut le vérifier que le supposer.