Qu’est-ce que le PHP et pourquoi a-t-il déclenché une vague mondiale de mesures de cybersécurité ?

Pendant plus d’une décennie, de graves failles sont passées inaperçues dans la technologie qui sous-tend une grande partie d’Internet.

Il a fallu recourir à l’intelligence artificielle (IA) pour les mettre au jour, ce qui a déclenché une alerte mondiale en matière de cybersécurité.

Ces vulnérabilités se trouvent dans un langage de programmation appelé PHP, utilisé à l’échelle internationale depuis les années 2000 pour créer des sites web.

Les gouvernements et les agences de cybersécurité du monde entier s’efforcent de limiter les répercussions de cette découverte faite mercredi, et ont exhorté les opérateurs de sites web à installer un nouveau correctif d’urgence ou à envisager de mettre leurs plateformes hors ligne.

La société de cybersécurité Wiz – l’une des entreprises dont les chercheurs ont mis au jour ces failles – a qualifié ces failles de « plus graves » jamais détectées par l’IA.

OpenAI, dont la technologie a permis de détecter ces failles, a qualifié cette découverte de « l’un des problèmes de sécurité les plus graves de ces dernières années ».

En quoi réside la faille ?

La plupart des gens n’ont peut-être jamais entendu parler de PHP – abréviation de « PHP : Hypertext Preprocessor » –, mais ils y sont très certainement confrontés au quotidien.

PHP est à la base d’un grand nombre de plateformes, notamment les boutiques en ligne, Wikipédia et WordPress – le système de gestion de contenu qui sous-tend de nombreux sites web tels que les blogs.

Lorsque vous consultez un site web comme Wikipédia, c’est le code PHP qui rassemble les informations dont vous avez besoin et les présente sous une forme lisible sur le web, a expliqué Paul Spain, directeur général de Gorilla Cyber Security, à la BBC.

Mais en raison d’une faille susceptible de permettre à des pirates de prendre le contrôle des serveurs web concernés sans authentification et de voler des données sensibles, toutes les applications développées en PHP se sont retrouvées exposées.

L’IA pourrait faciliter et accélérer ce type d’attaques, a déclaré M. Spain, estimant que cette faille pourrait toucher « des millions et des millions » de sites web.

Ce serait « catastrophique » si des pirates informatiques ou des États utilisaient cette faille à des fins malveillantes et s’emparaient de données privées sur des sites web, a déclaré Jill Slay, chercheuse en cybersécurité à l’université d’Adélaïde.

Quels sites web ont été touchés ?

Cette alerte a perturbé les services à l’échelle mondiale, des plateformes de jeux aux portails gouvernementaux en passant par les forums en ligne.

C’est notamment le cas de Wikimedia — l’organisation à l’origine de l’encyclopédie en ligne Wikipédia — qui a mis hors ligne plusieurs de ses systèmes à titre de mesure de précaution.

Des sites et des pages ont été mis hors ligne par le gouvernement finlandais, le conseil municipal d’Édimbourg et la BBC, tandis que l’agence néerlandaise de cybersécurité a également retiré son site web.

Un certain nombre d’organismes publics écossais, notamment des conseils municipaux et des conseils de santé, ont également mis leurs sites Internet hors ligne.

Certains experts avertissent que cette vulnérabilité pourrait exposer à un risque accru les sites Internet mal entretenus, en particulier ceux appartenant à de petites structures disposant de ressources limitées en matière de sécurité.

D’autres tentatives d’exploitation de ces failles sont à prévoir dans les semaines à venir, puisque les détails techniques sont désormais rendus publics, a déclaré Salil Kanhere, chercheur en cybersécurité à l’UNSW de Sydney.

Que s’est-il passé après la révélation de ces failles ?

Les développeurs de la plateforme PHP ont publié mercredi des correctifs visant à corriger les failles de sécurité qui se cachaient dans leur logiciel depuis des années.

« Tous les utilisateurs de PHP sont vivement encouragés à effectuer la mise à jour sans délai », a déclaré la société.

Les autorités et les organismes de sécurité du monde entier se sont fait l’écho de ces avertissements, exhortant les exploitants de sites web à sécuriser leurs plateformes.

L’Agence nationale de sécurité américaine (NSA) a demandé à toutes les organisations utilisant PHP de mettre leurs systèmes hors ligne si elles n’étaient pas en mesure d’appliquer immédiatement les correctifs, ajoutant que cette faille pouvait offrir un « accès direct » permettant d’exploiter la base de données d’un système.

« Ces risques sont suffisamment graves pour nécessiter l’application immédiate de correctifs dans l’ensemble des ministères et agences du gouvernement américain », a déclaré l’agence.

Le Centre national de cybersécurité du Royaume-Uni a émis des recommandations similaires et a conseillé aux organisations de vérifier la présence éventuelle de « portes dérobées installées par un pirate ».

Ses homologues de l’Union européenne, de Singapour et d’Australie ont également publié des alertes similaires.

La Première ministre japonaise, Sanae Takaichi, a exhorté la population à vérifier si leurs sites web accessibles au public fonctionnaient sous PHP.

« Nous demandons instamment à tout le monde de prendre des mesures dès ce soir », a écrit Mme Takaichi sur X.

« S’il est difficile d’appliquer rapidement le correctif, la suspension temporaire des sites web et d’autres mesures similaires peuvent être considérées comme un moyen efficace de réduire les risques », a-t-elle déclaré.

Les entreprises technologiques s’empressent également de sécuriser leurs systèmes.

Le géant du commerce électronique Amazon a déclaré avoir été la cible de multiples tentatives quelques jours avant la divulgation publique de la faille PHP. On ignore comment les attaquants potentiels ont eu connaissance de cette vulnérabilité.

Comment l’IA identifie-t-elle les points faibles ?

Ces failles ont été découvertes par des chercheurs des sociétés de sécurité Calif et Wiz.

Ces chercheurs ont utilisé des outils d’intelligence artificielle avancés, capables d’analyser le code et de détecter les failles bien plus rapidement que ne le peuvent les humains ou les anciens systèmes.

« Les logiciels modernes sont incroyablement complexes, et certaines failles peuvent passer inaperçues pendant des années », a déclaré M. Kanhere.

« Les bogues sous-jacents n’étaient pas nouveaux ; ce qui a changé, c’est notre capacité à les détecter », a ajouté M. Kanhere.

Des détails concernant cette découverte ont fuité sur Internet cette semaine, contraignant les développeurs de la plateforme PHP à annoncer en urgence l’existence de cette faille de sécurité et son ampleur considérable.

Cet incident « met en évidence la capacité de l’IA à détecter des failles de sécurité », mais aussi la manière dont elle peut « aider les pirates à développer rapidement des outils offensifs et des exploits », a déclaré OpenAI dans un article de blog.

Le créateur de ChatGPT a indiqué avoir publié un programme permettant de vérifier si la plateforme PHP est sécurisée.

« Bon nombre de ces failles proviennent de la manière dont les logiciels ont été conçus par le passé, c’est-à-dire en privilégiant la fonctionnalité au détriment de la sécurité », a déclaré Ryan Ko, du Cyber Research Centre de l’université du Queensland.

Que peuvent faire les gens pour se protéger ?

Les propriétaires de sites web sont invités à sécuriser leurs sites à l’aide de la dernière version de PHP.

Ce correctif PHP constitue une petite mise à jour de routine pour la plupart des équipes techniques, a déclaré M. Spain.

L’Agence nationale de sécurité américaine (NSA) a appelé à une « vigilance accrue » au cours des prochaines semaines et à suivre de près les mises à jour proposées par les éditeurs de logiciels.

« Il est primordial de faire preuve de vigilance lors de l’application des correctifs liés à ces systèmes », a-t-elle déclaré.

La responsabilité incombe principalement aux exploitants de sites web, mais les utilisateurs doivent rester attentifs à tout conseil de sécurité émis par les services concernés, comme les demandes de changement de mot de passe, a déclaré M. Kanhere.

Il a également averti le public de se méfier de tout message de hameçonnage exploitant la médiatisation de cet incident.

BBC

Créé le 23 octobre 2026 12:17