Alerte cyber : 70 % des sites web menacés par une faille critique dans PHP

Jeudi, un vaste mouvement de fermeture de sites internet a touché les administrations publiques et les entreprises à travers le monde. Cette réaction d'urgence visait à protéger les systèmes informatiques contre une exploitation imminente, suite à la révélation de deux failles de sécurité critiques au sein du langage de programmation PHP.

L'éditeur Wiz, spécialisé dans la cybersécurité, estime que ce code est utilisé pour faire fonctionner environ 70 % des pages web mondiales. Cette dépendance concerne aussi bien les plateformes commerciales et médiatiques que les services étatiques. La société qualifie ces vulnérabilités de potentiellement les plus graves jamais identifiées dans l'histoire du logiciel.

Réponse immédiate des autorités

Les développeurs de PHP ont publié une mise à jour corrective mercredi. Dans la foulée, l'Agence nationale de sécurité américaine (NSA) a exhorté les organisations à patcher leurs infrastructures sans délai ou à déconnecter les systèmes exposés du réseau internet.

Cette menace cible spécifiquement les hébergements où PHP tourne sur des serveurs dédiés. Les grandes plateformes utilisant d'autres langages ou des prestataires capables de déployer rapidement les correctifs ont pu maintenir leur activité en continu.

Rahe Masoud, maître de conférences en cybersécurité à l'université de Nouvelle-Galles du Sud à Sydney, a décrit cette découverte comme « extrêmement destructrice ». Elle a précisé à l'AFP que ces brèches permettent aux attaquants d'accéder aux serveurs sans authentification préalable, ni identifiant ni mot de passe. Une fois infiltrés, les intrus peuvent s'approprier des données sensibles ou modifier le contenu des sites, a-t-elle ajouté, insistant sur la nécessité de prendre la situation très au sérieux.

Le rôle croissant de l'IA dans la détection

La capacité accrue des modèles d'intelligence artificielle à identifier des faiblesses invisibles depuis des décennies alimente les inquiétudes. Les projections indiquent que le nombre de vulnérabilités logicielles découvertes en 2026 pourrait doubler le record établi l'année précédente.

La firme Califf a repéré ces deux failles en août grâce au modèle GPT-5.6 Sol d'OpenAI, lors d'une audit financé par l'entreprise. OpenAI a déclaré sur X considérer ces bugs parmi les plus impactants de la mémoire récente, marquant une étape où l'IA détecte des erreurs affectant l'ensemble de l'internet.

Wiz, propriété de Google, a confirmé avoir trouvé indépendamment les mêmes failles quelques semaines plus tard, assisté par Gemini 4 Argon et GPT-5.6 Sol. Volker Dusch, ingénieur sécurité chez la Fondation PHP, a comparé cette crise à la faille Heartbleed de 2014, soulignant qu'il s'agit du problème le plus grave rencontré par PHP depuis plus d'une décennie.

La Fondation PHP a publié un message urgent sur son blog : « Si vous utilisez PHP, il est impératif de mettre à jour maintenant ». Le Premier ministre japonais a recommandé aux entreprises d'agir avec une « grande urgence », tandis que Séoul a ordonné aux départements techniques de ses institutions de procéder aux mises à jour.

Perturbations mondiales et fuite d'informations

Les détails des failles ont fuité sur le web mardi, soit un jour avant la sortie officielle du correctif. Cette divulgation prématurée a forcé les organisations à couper leurs connexions internet pour éviter toute exploitation par des pirates.

En France, l'accès à plusieurs sites administratifs locaux, dont celui de la police parisienne, a été bloqué à la demande de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), selon le ministère de l'Intérieur. Aux Pays-Bas et en Australie, des portails gouvernementaux sont également restés inaccessibles. Des assureurs, opérateurs de transport et médias ont lancé des maintenances d'urgence.

La Wikimedia Foundation, qui gère Wikipédia, a averti les utilisateurs de possibles interruptions pendant la correction des failles, ayant volontairement isolé certains services support du réseau. L'application de suivi du sommeil liée au jeu Pokémon a aussi été temporairement désactivée pour appliquer les patches nécessaires.

Ethan Mollick, professeur à la Wharton School de l'université de Pennsylvanie, note que les entreprises peinent à suivre le rythme des mises à jour face aux attaques assistées par IA. Il écrit sur X que les consommateurs subiront bientôt la même pression, devant actualiser tous leurs équipements fréquemment.