Les gouvernements et les organisations du monde entier ont entamé des efforts de correction en urgence le 21 octobre 2026, après la divulgation d'une vulnérabilité dans PHP, le langage de programmation qui fait tourner une grande partie du web actuel. Ce bug pourrait donner aux pirates un accès aux données et le contrôle de sites web, provoquant des avertissements urgents de la National Security Agency américaine, d'agences de cybersécurité et des éditeurs de logiciels.

Un chercheur de Calif, une société de recherche en sécurité, a découvert la faille en août 2026 à l'aide d'un modèle d'intelligence artificielle avancé d'OpenAI. La société a alerté l'organisation à but non lucratif qui gère PHP. Cependant, l'information sur la faille a fui avant que l'organisation PHP ne publie des correctifs pour son logiciel, et selon des responsables d'Amazon Web Services, des pirates ont commencé « massivement » à tenter de l'exploiter.

Cette vulnérabilité a des implications bien au-delà d'une seule entreprise ou plateforme, car PHP est un logiciel clé qui contribue à faire fonctionner des millions de sites web. Alors, qu'est-ce que PHP, quel rôle l'IA a-t-elle joué dans la découverte de la faille, et l'utilisateur moyen doit-il s'inquiéter ?

PHP : le socle du web

PHP est un langage de programmation qui fait tourner la majorité des sites web. Pour qu'un site moderne puisse fournir du contenu dynamique, des éléments visuels et des fonctionnalités de recherche, un programme doit s'exécuter sur le serveur web et traiter les entrées de l'utilisateur — que ce soit la saisie d'une adresse web ou le clic sur des liens et des boutons. Les estimations suggèrent qu'environ 70 % des sites web fonctionnent avec PHP. Une faiblesse de PHP n'est donc pas un défaut d'une seule application, mais d'une couche partagée par des millions de sites à la fois.

PHP fonctionne sur un serveur web en deux grandes parties : le système PHP central — le moteur et les bibliothèques d'exécution — et les scripts PHP individuels, les programmes personnalisés qui mettent réellement en œuvre un site web. Lorsqu'un visiteur interagit avec un site, les scripts PHP s'exécutent, traitent les entrées de l'utilisateur et produisent le résultat affiché par le navigateur web.

La vulnérabilité

Le problème de sécurité se situe directement dans le système PHP central et lesothèques qu'il utilise. Lorsqu'une vulnérabilité existe à ce niveau profond, elle peut permettre à un adversaire d'exploiter le système sous-jacent. En l'occurrence, les attaquants peuvent exécuter des commandes non autorisées sur l'ordinateur hébergeant un site web, ce qui leur donne accès aux données et le contrôle total du site.

Point important : il ne s'agit pas d'une erreur dans le code d'un site web particulier. Comme le problème se situe dans le système PHP central, chaque serveur non corrigé exécutant PHP est vulnérable. Et puisque les sites web sont accessibles à tous sur Internet, les adversaires peuvent facilement repérer des cibles basées sur PHP à l'aide d'outils automatisés, puis exécuter un programme d'exploitation qui tire parti de la faille. Il en résulte une course entre les administrateurs appliquant les correctifs et les attaquants scannant les serveurs pas encore corrigés — une dynamique déjà visible dans les tentatives massives d'exploitation décrites par les responsables d'Amazon Web Services.

Le code d'exploitation s'appelle PHP2Shell, un nom dérivé de l'« accès shell » qu'il accorde — un terme de cybersécurité désignant le contrôle direct en ligne de commande de l'ordinateur hébergeant un site web. L'accès shell contourne l'interface du site, offrant aux adversaires une fenêtre pour saisir des commandes et accéder à toutes les données du site.

L'IA : une arme à double tranchant

Ce qui rend cette vulnérabilité particulièrement remarquable, c'est la manière dont elle a été découverte. La faille a vu le jour grâce à la divulgation coordonnée, un processus dans lequel les chercheurs en cybersécurité signalent les bugs aux développeurs de PHP avant de les rendre publics. Dans ce cas, environ deux mois se sont écoulés entre le signalement privé en août et la divulgation publique en octobre.

Cet épisode illustre la puissance de l'IA en cybersécurité. Pendant des décennies, découvrir des failles logicielles subtiles nécessitait de grandes équipes de spécialistes relisant manuellement le code. Les systèmes d'IA d'aujourd'hui peuvent examiner d'immenses bases de code et identifier des schémas inhabituels en quelques heures ou quelques jours, en analysant des millions de lignes de code et en repérant des bugs subtils de gestion de la mémoire que des auditeurs humains pourraient manquer malgré des décennies de développement logiciel. La vulnérabilité de PHP existait dans le code central depuis plus d'une décennie, et l'IA a aidé les chercheurs à la trouver. Ce cas montre comment l'échelle de la découverte de vulnérabilités est en train de changer : un chercheur seul, travaillant avec l'IA, peut mettre au jour des bugs qui exigeaient autrefois de grandes équipes.

Mais les mêmes outils peuvent servir les attaquants. Les capacités de raisonnement qui aident les chercheurs en sécurité à trouver les failles en premier permettent aussi aux adversaires de scanner rapidement le web à la recherche de cibles vulnérables et d'automatiser la création d'outils d'exploitation. Cela illustre pourquoi il est si crucial que les équipes de sécurité utilisent l'IA pour trouver les vulnérabilités et les signaler de manière sûre et proactive — et pourquoi l'IA peut également aider à publier des correctifs qui les atténuent.

Faut s'inquiéter ?

De nombreuses agences gouvernementales, universités, hôpitaux et entreprises reposent sur des systèmes basés sur PHP. Bien que les internautes individuels soient peu susceptibles d'être directement touchés, les organisations qui retardent l'application des correctifs risquent d'exposer des données sensibles, de subir des perturbations de leurs opérations ou d'offrir aux attaquants une porte d'entrée vers des réseaux plus vastes.

PHP s'exécute entièrement sur des serveurs web distants. Si vous êtes un internaute ordinaire qui visite des sites web, vous n'avez pas besoin de télécharger un correctif ni de réparer votre ordinateur personnel.

En revanche, si vous gérez un site web, un blog ou un serveur — même un petit site construit sur des systèmes de gestion de contenu populaires comme WordPress, qui repose lui-même sur PHP — vous devriez vérifier immédiatement votre panneau d'administration de serveur ou votre hébergeur web afin de vous assurer que le logiciel PHP est mis à jour vers la dernière version corrigée. Si votre site web est hébergé par un tiers, vérifiez auprès de lui qu'il a appliqué les correctifs pour ces vulnérabilités.

La découverte de PHP2Shell illustre une nouvelle réalité pour la cybersécurité. Dans un monde interconnecté, garantir la sécurité des infrastructures web est une course continue. Alors que les outils d'IA deviennent la norme tant pour les défenseurs que pour les adversaires en ligne, maintenir de bonnes habitudes de correction rapide reste notre défense la plus essentielle.

Cet article a été rédigé par Doug Jacobson, professeur des universités en génie électrique et informatique à l'Iowa State University. Il est republié de The Conversation sous licence Creative Commons ; lisez l'article original. Cette histoire a initialement été publiée sur Fortune.com.