Les développeurs PHP corrigent des vulnérabilités critiques découvertes par un modèle d’IA

Les développeurs de PHP ont annoncé une mise à jour de sécurité le 22 octobre pour corriger deux vulnérabilités dans ce langage de programmation, qui fait fonctionner environ 70 % des sites web dans le monde. Elles ont été découvertes par la société américaine de cybersécurité Calif à l’aide du modèle d’IA GPT-5.6 Sol d’OpenAI. Baptisées PHP2Shell, ces failles pourraient permettre à des attaquants d’installer à distance du code malveillant sur des serveurs. Le gouvernement sud-coréen a relevé son niveau d’alerte cyber au niveau 2, « vigilance », le 22 octobre à midi, après une réunion d’évaluation des risques. Les vulnérabilités avaient été identifiées pour la première fois en 2024, mais étaient jugées trop difficiles à exploiter. Une analyse par IA a ensuite confirmé le risque, incitant les développeurs de PHP à publier le correctif le 21 octobre, après plus de deux mois de vérifications à la suite du signalement de Calif en août. PHP assure des fonctions essentielles, notamment le traitement des paiements et des commandes sur les sites d’entreprises financières, de boutiques en ligne et d’autres entreprises. Cette faille représente donc un enjeu majeur de sécurité pour les gouvernements et les entreprises du monde entier.

Calif a utilisé GPT-5.6 Sol pour découvrir les vulnérabilités PHP2Shell

Selon la PHP Foundation, le 22 octobre, des chercheurs de Calif ont utilisé le modèle GPT-5.6 Sol d’OpenAI pour identifier deux vulnérabilités dans PHP. Avec les développeurs de PHP, ils ont élaboré un correctif de sécurité grâce au soutien financier d’OpenAI. Calif a signalé les failles en août. Le directeur général de Calif, Thai Duong, a déclaré que ces vulnérabilités avaient été largement oubliées, car elles étaient considérées comme trop difficiles à exploiter. PHP s’exécute côté serveur et assure des fonctions comme le traitement des paiements et des commandes. En cas de faille de sécurité dans PHP, des pirates pourraient s’introduire dans les serveurs, voler des données, modifier des sites web à leur guise ou utiliser des systèmes compromis pour prendre le contrôle des serveurs d’autres entreprises.

Les développeurs de PHP ont publié une mise à jour de sécurité le 21 octobre

Les développeurs de PHP ont annoncé le 21 octobre la mise à jour de sécurité corrigeant les vulnérabilités PHP2Shell, après plus de deux mois de vérifications à la suite du signalement de Calif en août. L’existence de ces vulnérabilités avait été évoquée pour la première fois en 2024, mais elles étaient alors considérées comme peu susceptibles d’être exploitées et le correctif avait été mis en attente. Thai Duong a ajouté que des pirates pourraient utiliser l’IA pour procéder à la rétro-ingénierie du correctif et lancer des attaques, provoquant des perturbations généralisées.

Des millions de tentatives d’attaque enregistrées après la divulgation du correctif

Le directeur général de Cloudflare, Matthew Prince, a écrit sur X que des milliers de tentatives d’attaque avaient eu lieu au cours des 10 heures précédant la publication du correctif, mais que leur nombre avait atteint des millions par la suite. Certaines sociétés de cybersécurité ont été critiquées pour avoir publié le correctif avant l’heure convenue, donnant ainsi aux pirates davantage de temps pour l’analyser. Le Wall Street Journal a rendu compte de la découverte et du processus de correction.

La Corée du Sud a relevé son niveau d’alerte cyber à 2, « vigilance », le 22 octobre

Le ministère sud-coréen des Sciences et des TIC a déclenché une alerte cyber de niveau 2, « vigilance », pour le secteur privé le 22 octobre à midi, après une réunion d’évaluation des risques. Il s’agit du deuxième des quatre niveaux d’alerte : attention, vigilance, avertissement et alerte grave. Dans le cadre de cette mesure, les autorités augmenteront les effectifs chargés de répondre aux incidents et maintiendront des équipes d’intervention d’urgence en état d’alerte. Le Bureau de la sécurité nationale a tenu une réunion d’urgence présidée par Song Ki-ho, troisième directeur adjoint, avec le ministère des Sciences et des TIC, le ministère de la Défense nationale et le Service national de renseignement, afin d’examiner les mesures d’intervention par secteur. Aucun dommage n’a été signalé en Corée du Sud à ce jour.

Les anciennes versions de PHP représentent 89 % des installations en Corée du Sud

Les versions antérieures à PHP 8.1, difficiles à corriger, représentent 89 % des installations de PHP en Corée du Sud, selon les données disponibles. C’est plus qu’au Japon (79 %), aux États-Unis (71 %) et en France (69 %). Moon Jong-hyun, responsable du centre de sécurité de Genians, a déclaré que les serveurs des petites entreprises disposant de moyens limités en cybersécurité pourraient devenir des maillons faibles. Les inquiétudes grandissent : les petites et moyennes entreprises ainsi que les petits commerçants pourraient avoir du mal à réagir, car de nombreux sites web créés par des prestataires externes ne sont plus couverts par des contrats de maintenance.

Les gouvernements et les entreprises du monde entier réagissent à la vulnérabilité de PHP

Les gouvernements américain et britannique ont exhorté les entreprises à installer la mise à jour de sécurité et leur ont recommandé de mettre leurs systèmes hors ligne si l’application du correctif s’avérait difficile. Les Pays-Bas ont suspendu les services du port de Rotterdam, le plus grand port d’Europe, ainsi que ceux des principaux partis politiques, des hôpitaux et des portails gouvernementaux, afin de se préparer à d’éventuelles attaques. La Première ministre japonaise Sanae Takaichi a appelé les opérateurs à vérifier si leurs sites web utilisent PHP et à appliquer le correctif dans les meilleurs délais.

FAQ

Quelles vulnérabilités le modèle d’IA d’OpenAI a-t-il découvertes dans PHP ?

Le modèle GPT-5.6 Sol d’OpenAI a permis de découvrir dans PHP deux vulnérabilités baptisées PHP2Shell, qui pourraient permettre à des attaquants d’installer à distance du code malveillant sur des serveurs. La société américaine de cybersécurité Calif a utilisé le modèle d’IA pour identifier les failles et les a signalées en août, ce qui a conduit les développeurs de PHP à publier une mise à jour de sécurité le 21 octobre, après plus de deux mois de vérifications.

Pourquoi la Corée du Sud est-elle particulièrement vulnérable aux attaques visant PHP ?

La Corée du Sud est considérée comme particulièrement vulnérable, car les versions antérieures à PHP 8.1, difficiles à corriger, représentent 89 % des installations de PHP dans le pays. C’est plus qu’au Japon (79 %), aux États-Unis (71 %) et en France (69 %). En réponse à la menace, le gouvernement sud-coréen a relevé son niveau d’alerte cyber à 2, « vigilance », le 22 octobre à midi.

Quelles mesures les gouvernements ont-ils prises après la divulgation de la vulnérabilité de PHP ?

Les gouvernements américain et britannique ont exhorté les entreprises à installer la mise à jour de sécurité et leur ont recommandé de mettre leurs systèmes hors ligne si l’application du correctif s’avérait difficile. Les Pays-Bas ont suspendu les services du port de Rotterdam, des principaux partis politiques, des hôpitaux et des portails gouvernementaux. La Première ministre japonaise Sanae Takaichi a appelé les opérateurs à appliquer rapidement le correctif. Le ministère sud-coréen des Sciences et des TIC a déclenché une alerte cyber de niveau 2 le 22 octobre.