IA cybersécurité : quand l’intelligence artificielle devient le meilleur ami des pirates
J’ai vu ce bug des dizaines de fois. Pas celui-là précisément, mais le scénario, oui. Un code tout propre, vieux de vingt ans, que personne n’a jamais regardé. Et puis un jour, quelqu’un le regarde avec un outil qui va mille fois plus vite que n’importe quel humain. La faille PHP2Shell, c’est exactement ça. L’ia cybersécurité vient de faire sauter un couvercle que le monde de l’informatique avait soigneusement posé depuis deux décennies. Sauf que cette fois, le couvercle n’a pas sauté du bon côté. La semaine dernière, un client m’a appelé pour ça. Enfin, pour un truc qui ressemblait furieusement à ça, et je pense honnêtement qu’on va en reparler pendant des mois.
L’idée de base est simple, presque banale : des vulnérabilités dormaient dans le code de PHP depuis une vingtaine d’années. Des trucs que des générations de développeurs ont croisés sans les voir. Et puis l’IA générative est arrivée. Elle a lu. Elle a croisé. Elle a trouvé. Autant dire que la nouvelle a fait l’effet d’une bombe dans le petit monde de la sécurité. Sauf que voilà : trouver une faille, c’est une chose. La voir tomber entre les mains de gens qui veulent l’exploiter, c’en est une autre. Et mine de rien, c’est précisément ce qui se passe.
PHP2Shell : la faille que tout le monde a regardée sans la voir
Pour être honnête, je ne suis pas certain à 100% que PHP2Shell soit aussi catastrophique que certains experts le clament sur X. Mais d’après mon expérience en atelier, quand une faille touche un langage aussi répandu que PHP, le problème n’est jamais technique. Il est logistique. Combien de sites tournent encore sur du PHP 5.6 que personne n’a mis à jour depuis 2018 ? Combien de clients m’appellent parce que leur site est lent, et repartent fâchés quand je leur explique que leur CMS tourne sur une version abandonnée depuis six ans ? Des centaines. Du coup, une faille dans PHP, c’est comme une fuite d’eau dans un immeuble où la moitié des appartements sont vides et fermés à clé. Tout le monde sait qu’il y a un problème. Personne ne sait où.
Ce qui est nouveau ici, c’est le vecteur de découverte. L’IA ne s’est pas contentée de scanner des lignes de code. Elle a fait ce qu’aucun humain ne peut faire : elle a tenu la distance. Des millions de combinaisons, des schémas d’appels, des contextes d’exécution. Un auditeur humain aurait abandonné au bout de trois jours en se disant que le code était probablement propre. L’IA, elle, n’abandonne pas. Elle n’a pas de pause café. Elle n’a pas non plus le bon sens de se dire « bon, ça suffit, on va se concentrer sur le vrai risque ». C’est là que le bât blesse.
Le paradoxe du chasseur de bugs
Les mêmes outils qui permettent aux chercheurs de découvrir des failles permettent aux pirates de les exploiter. C’est le vieux paradoxe du couteau de cuisine : il sert à éplucher les carottes et à trancher une gorge. Sauf qu’ici, le couteau s’aiguise tout seul. Un pirate n’a plus besoin de comprendre le code. Il demande à un modèle de lui expliquer comment exploiter PHP2Shell, il obtient une réponse, il lance son script. Le ticket d’entrée dans la cybercriminalité vient de baisser à un niveau que je n’avais jamais vu en quinze ans de métier. Pour tout dire, ça m’inquiète bien plus que les histoires de ransomware dont on nous rabâche les oreilles.
Évidemment, les éditeurs vont sortir des patchs. Ils vont communiquer. Ils vont dire que tout est sous contrôle. Et pendant ce temps, sur les forums, les scripts d’exploitation circulent. J’ai vu la même chose avec Log4Shell. Le patch est sorti en trois jours. Les serveurs, eux, ont mis deux ans à être tous mis à jour. Du coup, on a vécu deux ans avec une faille officiellement « corrigée ». Autant dire que PHP2Shell, c’est parti pour un petit moment.
Pourquoi l’ia cybersécurité change la donne (et pas dans le bon sens)
Je vais prendre une position qui ne va pas plaire à certains experts. L’IA ne rend pas la cybersécurité meilleure. Elle rend la découverte plus rapide, c’est tout. Et la rapidité de découverte, quand elle n’est pas accompagnée de rapidité de correction, c’est juste du chaos distribué. Les chercheurs publient, les éditeurs patchent, les administrateurs traînent. Ce cycle, on le connaît. L’IA ne fait qu’accélérer chaque étape, y compris la plus lente : la mise à jour effective des systèmes en production.
La semaine dernière, un client m’appelle. Une TPE dans la logistique, douze salariés. Son site vitrine tourne sur du PHP 7.2. Je lui explique qu’une faille critique vient d’être révélée et que sa version est concernée. Il me répond : « Mais le site marche très bien. » Voilà. Voilà exactement le problème. La faille PHP2Shell ne se voit pas. Elle ne casse rien. Elle attend. Et pendant que mon client me parle, son site est peut-être déjà en train de servir de relais à une attaque qu’il ne verra jamais. Histoire de bien commencer la semaine.
Les mises à jour, ce sport de contact
Ah, et évidemment, Windows a encore tout cassé avec sa dernière MAJ. Parce qu’on ne peut pas avoir une semaine de cybersécurité sans qu’une mise à jour de sécurité casse quelque chose d’important. Un serveur qui ne redémarre plus. Un service qui ne se lance plus. Un client qui m’appelle en panique parce que son site est down depuis la MAJ automatique. Le patch qui devait le protéger de PHP2Shell l’a mis hors ligne. C’est ironique, et c’est surtout épuisant. Je passe plus de temps à réparer les dégâts des mises à jour qu’à traiter les failles qu’elles sont censées colmater.
Pour être honnête, je ne blâme pas Microsoft plus que les autres. Blâmer un éditeur, c’est facile, ça ne résout rien. Mais il faut bien reconnaître une chose : le rythme des patchs est devenu incompatible avec le rythme des découvertes. L’IA trouve des failles en quelques heures. Les équipes de développement mettent des semaines à corriger. Les administrateurs mettent des mois à déployer. Cette chaîne, à un moment, elle craque. Et c’est nous, en bas de la chaîne, qui ramassons les morceaux.
Ce que je vois vraiment sur le terrain
Dans mon atelier, l’IA cybersécurité, c’est un sujet qui revient de plus en plus. Pas parce que mes clients sont experts, mais parce qu’ils entendent parler de failles à la télévision et qu’ils prennent peur. Du coup, ils m’appellent. Et quand j’arrive, je trouve quoi ? Des mots de passe en clair dans des fichiers de configuration. Des backups qui n’existent pas. Des plugins abandonnés depuis 2019. Le vrai problème, ce n’est pas PHP2Shell. C’est que la moitié des sites que je vois n’ont jamais été pensés pour être sécurisés. On a empilé des couches, des thèmes, des plugins, sans jamais se demander si l’ensemble tenait debout.
Mine de rien, l’IA rend service sur un point : elle rend visible ce qui était invisible. Elle met sous le nez des administrateurs des failles qu’ils auraient pu ignorer pendant dix ans. Le problème, c’est que la visibilité sans action, ça ne sert à rien. C’est comme un détecteur de fumée qui sonne dans une maison vide. Tout le monde sait qu’il y a un problème. Personne n’est là pour l’éteindre.
Les trois erreurs que je vois le plus souvent
- Croire que le patch est suffisant : un correctif non déployé ne protège personne, et c’est le cas le plus fréquent que je rencontre.
- Ignorer les versions obsolètes : PHP 7.x, MySQL ancien, plugins abandonnés, tout ça constitue une surface d’attaque que l’IA exploite sans effort.
- Ne pas surveiller les logs : sans monitoring, on ne sait pas qu’on est attaqué, et c’est souvent le client qui découvre le problème via Google qui blackliste son site.
J’ajouterais volontiers une quatrième erreur, mais elle est plus philosophique : croire que l’IA va nous sauver. Non. L’IA ne sauve personne. Elle trouve. Elle accélère. Elle industrialise. C’est à nous, humains, de décider quoi faire de ce qu’elle trouve. Et pour l’instant, collectivement, on ne fait pas grand-chose.
Faut-il avoir peur de PHP2Shell ?
Ma réponse est nuancée, et elle va peut-être en étonner certains. Non, PHP2Shell ne va pas « faire tomber Internet ». Les titres alarmistes, c’est un sport médiatique, et je ne vais pas y participer. Oui, PHP2Shell est un signal. Un signal que nos infrastructures reposent sur du code ancien, mal maintenu, et que l’IA vient de mettre en lumière d’une manière que personne n’avait anticipée. Le vrai danger n’est pas la faille elle-même. Le vrai danger, c’est notre incapacité chronique à maintenir ce qui existe déjà.
Je ne suis pas certain à 100% que la vague d’attaques annoncée aura lieu dans les semaines qui viennent. D’après mon expérience en atelier, les grosses vagues médiatiques sont souvent suivies de vagues réelles, mais décalées de plusieurs mois. Le temps que les scripts circulent, que les outils se démocratisent, que les attaquants opportunistes s’en emparent. Le pic, on le verra probablement à l’automne. Et à ce moment-là, les mêmes experts qui crient au loup aujourd’hui seront passés à autre chose. Autant dire qu’on sera seuls.
Ce que je conseille à mes clients, c’est simple, presque bête. Mettre à jour PHP. Vérifier les plugins. Faire des backups. Surveiller les logs. Ce n’est pas sexy, ça ne fait pas de titre accrocheur, mais c’est ce qui marche. La cybersécurité, ce n’est pas une course à l’outil le plus avancé. C’est une discipline de fond, ennuyeuse, répétitive. L’IA ne changera pas ça. Elle rendra juste l’ennui plus visible.
Et maintenant, on fait quoi ?
La question que je pose à tous ceux qui me lisent : est-ce que votre site tourne sur une version de PHP supportée ? Est-ce que vous savez qui a accès à votre administration ? Est-ce que vous avez un backup qui date de moins de sept jours ? Si la réponse est non à l’une de ces questions, PHP2Shell n’est pas votre problème. Votre problème, c’est que vous êtes en sursis, et que l’IA vient de raccourcir le délai.
L’histoire de PHP2Shell ne se termine pas cette semaine. Elle commence. Les failles vont continuer à être découvertes par des modèles toujours plus rapides, et les pirates vont continuer à les exploiter toujours plus vite. Le seul moyen de ne pas subir, c’est de faire le travail de fond. Pas glamour, pas médiatique, mais efficace. C’est ce que je fais depuis quinze ans. C’est ce que je continuerai à faire. Et si vous voulez qu’on regarde ensemble ce qui cloche chez vous, vous savez où me trouver.
Source de l’article original : 01net.com — « La nouvelle norme » : l’IA a semé le chaos sur Internet cette semaine, et « ce n’est que le début »
Source : article original
