Une faille de PHP que tout le monde avait classée sans danger s'est révélée être une voie vers le contrôle total d'un serveur, et il a fallu moins de deux semaines à un chercheur équipé d'outils d'IA pour le prouver. Le récit d'IEEE Spectrum sur PHP2Shell mérite votre attention, car le schéma qu'il décrit, de vieilles failles étiquetées 'juste un plantage' qui deviennent graves quand l'IA fait le raisonnement difficile, dépasse de loin un seul langage. PHP fait encore tourner une grande part du web, les sites menacés n'avaient donc rien d'obscur.
La faille elle-même est une erreur de mémoire insuffisante, où une donnée reçoit moins d'espace qu'il ne lui en faut. En soi, cela ne fait souvent que planter le programme, raison pour laquelle elle a été signalée à la PHP Foundation en 2024 et laissée sans correctif. Début 2026, la société de sécurité Calif a proposé d'auditer PHP, OpenAI finançant le travail. En moins de deux semaines, un chercheur de Calif a utilisé des outils d'IA pour transformer le plantage en exécution de code arbitraire : la capacité d'exécuter n'importe quel code sur la machine. Wiz et OpenAI ont ensuite confirmé les failles et en ont trouvé d'autres. Le correctif a occupé quatre ingénieurs pendant deux mois, et le problème est devenu public fin octobre 2026, l'avis de sécurité de la Foundation étant daté du 21 octobre. À la connaissance de tous, aucune attaque n'a eu lieu avant la diffusion du correctif.
Le point technique des experts est celui qui marque. Suman Jana, de Columbia, décrit l'exploitation d'une telle faille comme la recherche de l'endroit exact où sauter en mémoire et des bits à écraser, et dans quel ordre : pas sorcier, dit-il, mais un raisonnement précis et pénible que l'IA fait désormais bien. Il prend soin d'ajouter que l'IA ne peut pas le faire seule, et qu'elle rend surtout les bons experts plus rapides tout en permettant à ceux juste en dessous d'accomplir un travail comparable.
Cela rejoint ce que nous avons vu ailleurs. OpenAI a mené des procédés similaires contre le noyau Linux, et dans notre test de GPT-6 Cyber nous rapportons les affirmations du même fournisseur sur la découverte et l'exploitation de failles à grande échelle. Le fil commun est que la découverte et l'armement deviennent moins coûteux alors que le travail humain de correction, lui, ne baisse pas.
Cette asymétrie est le hic. Jana souligne que trouver des failles et les corriger ne sont pas symétriques, et que l'écart frappe le plus durement les projets open source sans financement. Il mise sur les outils de vérification formelle, comme la publication d'Anthropic du 22 octobre, où une IA écrit un correctif et une preuve vérifiable qu'il fonctionne. Matthew Green, de Johns Hopkins, est moins optimiste et n'attend un vrai financement qu'après un désastre public, ce que PHP2Shell n'a pas été. Son conseil pratique, et la seule défense que la plupart des propriétaires de sites ont aujourd'hui, est d'installer les mises à jour de sécurité sans tarder.