Cybersécurité : l’IA rend PHP vulnérable, 18 mois critiques
La cybersécurité IA vient de prendre un coup de vieux. Deux failles critiques dans PHP, découvertes presque coup sur coup, et voilà qu’un responsable d’Anthropic nous annonce que « la situation va empirer ». Dix-huit mois de turbulences, paraît-il. Je lis ça un dimanche soir entre deux sauvegardes de serveurs, et je me dis : tiens, on y est enfin. Ça fait des années que je le répète à mes clients, la cybersécurité IA n’est pas un gadget marketing, c’est un nouveau champ de bataille. Sauf que là, ce n’est plus moi tout seul dans mon atelier qui le dis, c’est un des types qui fabriquent les modèles eux-mêmes.
Autant dire que ça change le tempo.
PHP, ce vieux copain qu’on n’a jamais vraiment réparé — et que la cybersécurité IA attaque
Je vais être direct : PHP, je l’aime bien. J’ai commencé avec lui il y a quinze ans, j’ai des clients qui tournent encore sur des sites en PHP 5.6, et j’ai passé plus de nuits blanches sur des register_globals que sur n’importe quel autre truc. Mais soyons honnêtes deux minutes. PHP, c’est la maison de famille qu’on retape depuis 1998 sans jamais refaire les fondations. On change la peinture, on rajoute une extension, on colmate. Et à chaque fois qu’on croit que ça tient, un nouveau truc arrive qui fissure tout.
Là, ce sont deux failles critiques. Le genre de truc qui te fait transpirer quand tu vois le CVE arriver dans ta boîte mail à 23h47 un vendredi. J’ai eu exactement ce cas la semaine dernière chez un client qui fait de la e-boutique. Serveur PHP pas à jour depuis dix-huit mois, parce que « ça marchait très bien comme ça ». Il a fallu que je lui explique qu’un site qui marche très bien, c’est souvent un site qui est déjà compromis depuis un moment sans qu’il le sache. Mine de rien, c’est ça le vrai problème.
Ce qui change aujourd’hui, ce n’est pas que PHP ait des failles. PHP a toujours eu des failles. Ce qui change, c’est la vitesse à laquelle on les trouve. Et là, on touche au cœur du sujet de la cybersécurité IA : ce ne sont plus des humains qui passent des semaines à éplucher du code à la main. Ce sont des modèles qui crachent des rapports d’audit en quelques heures.
Je ne suis pas certain à 100% de la mécanique exacte utilisée par les équipes de recherche, mais d’après ce que je vois en atelier, le pattern est clair. Les IA d’audit trouvent plus vite. Beaucoup plus vite. Trop vite, même, pour que les équipes de maintenance puissent suivre.
Ce qu’Anthropic dit vraiment, et pourquoi je les crois à moitié
Donc un responsable d’Anthropic explique, en substance, que les 18 prochains mois vont être compliqués. Le temps que les entreprises s’adaptent. Que les défenses se mettent à niveau. Mouais. Sur le fond, je suis d’accord. Sur le calendrier, j’ai un doute.
Parce que les 18 mois, on me les a déjà promis il y a trois ans. Souviens-toi. Le télétravail devait tout casser, les VPN devaient exploser, les entreprises devaient toutes migrer vers le zero-trust en six mois. Résultat : en 2025, j’ai encore des clients en RDP ouvert sur Internet avec un mot de passe en Motdepasse2024!. Alors les prévisions à 18 mois, hein.
Mais. Il y a un « mais ».
Ce qui est différent cette fois, c’est que la vitesse de découverte des failles augmente plus vite que la vitesse de patch. Et ça, c’est un problème structurel, pas conjoncturel. Quand un seul modèle IA peut te sortir 40 vulnérabilités exploitables dans une base de code en une nuit, tu ne peux pas répondre avec trois devs qui bossent de 9h à 17h. La disproportion est trop grande.
Du coup, je pense qu’Anthropic sous-estime le bordel. Pas sur la durée, sur l’intensité. Le chaos PHP dont parle l’article, ce n’est pas un épisode. C’est le nouveau rythme de croisière.
Le vrai problème n’est pas l’IA, c’est ce qu’on en fait (et ce qu’on ne fait pas)
Là, je vais peut-être déplaire à quelques confrères, mais tant pis. J’entends beaucoup de gens taper sur l’IA comme si c’était le diable numérique. « C’est la faute à ChatGPT, c’est la faute aux modèles, gnagnagna. » Faux. Archi-faux. L’IA ne crée pas les failles. Elle les révèle plus vite. Nuance énorme.
Une faille PHP qui existe depuis 2019 et que personne n’avait trouvée, elle existait déjà en 2019. Le fait qu’une IA la trouve en 2025 ne rend pas l’IA responsable. Ça rend juste visible la dette technique qu’on a laissée s’accumuler en fermant les yeux. Autant dire que le miroir est un peu brutal.
J’ai eu un cas l’année dernière, un petit cabinet comptable, trois serveurs, un site vitrine en WordPress. Le gars me demande un audit. Je passe un scanner automatisé, je remonte 74 points d’attention. Il me dit : « Mais ça marchait très bien avant que tu passes ! » Évidemment. C’est comme dire qu’une maison tient debout avant que l’inspecteur regarde les fondations.
Pour être honnête, je pense qu’il faut arrêter de poser la question « faut-il utiliser l’IA en cybersécurité ». La question est déjà tranchée : tout le monde l’utilise. Les attaquants d’abord, d’ailleurs. Ce sont eux qui ont compris l’intérêt avant les défenseurs, comme d’habitude. La vraie question, c’est : est-ce que tu as les moyens humains et process pour absorber ce que l’IA va te balancer à la figure ?
Et là, la réponse est souvent non.
- Les DSI n’ont pas de budget pour recruter des profils sécurité correctement payés.
- Les PME n’ont même pas de DSI, elles ont un « monsieur informatique » à mi-temps.
- Les éditeurs de CMS, PHP inclus, publient des correctifs que personne n’applique.
- Et pendant ce temps, les attaquants automatisent leur propre chaîne avec les mêmes modèles.
Mine de rien, cette liste elle fait mal. Et elle explique mieux les 18 mois critiques que n’importe quel communiqué de presse.
Ma position tranchée : arrêtez de patcher à moitié, refondez
Je vais être cash parce que je vois la même erreur se répéter depuis quinze ans. Le réflexe de la plupart des boîtes, quand une faille critique tombe, c’est de patcher. Vite. Mal. Et d’oublier. On applique le correctif PHP, on redémarre Apache, on pousse en prod le vendredi à 17h, on croise les doigts. Et on recommence trois mois plus tard avec la suivante.
Ça ne marchera plus. Pas à cette cadence. Pas avec des IA qui trouvent dix fois plus vite qu’avant.
Ce que je préconise à mes clients, et je le dis clairement : il faut arrêter de considérer la sécurité comme un correctif et commencer à la traiter comme une architecture. Ça veut dire quoi concrètement ?
Ça veut dire accepter de refondre des bouts entiers. Sortir du PHP 5.6. Migrer vers des versions supportées. Mettre en place un vrai pipeline de déploiement. Et surtout, surtout, arrêter de croire que parce que ça tourne, c’est sécurisé.
Je ne suis pas naïf. Je sais bien qu’une PME de douze personnes ne va pas refondre son site. Mais elle peut au moins appliquer les correctifs. Elle peut arrêter d’ouvrir des ports en prod pour « tester un truc vite fait ». Elle peut arrêter de stocker ses backups sur le même serveur que la prod. Ces trois trucs, à eux seuls, éliminent une bonne moitié des compromissions que je vois passer.
Et là, la cybersécurité IA devient un allié, pas un ennemi. Un scanner automatisé qui tourne chaque nuit et qui te dit « eh, ton serveur expose encore le port 3306 sur Internet, ça fait trois semaines », c’est dix fois plus utile que n’importe quel audit annuel à 15 000 balles.
18 mois pour se réveiller (ou pour se faire réveiller par un ransomware)
Alors voilà où j’en suis. L’article d’01net tape juste sur le diagnostic. Les failles PHP ne sont pas une anomalie, elles sont un symptôme. L’IA accélère la découverte des failles, ça va continuer, et les 18 prochains mois vont être sportifs. Je le crois. Pas parce qu’Anthropic le dit, mais parce que je vois la même chose sur le terrain depuis deux ans, à mon échelle de tech indépendant qui se déplace chez des clients avec sa mallette.
Ce que je ne crois pas, c’est que les entreprises vont s’adapter en 18 mois. Certaines oui. Celles qui ont déjà des équipes sécurité structurées. Les autres, celles qui représentent 80% du tissu économique, elles vont continuer à patcher à moitié, à ignorer les CVE, et à découvrir leur faille le jour où le site affiche une page de rançon. Autant dire que le réveil va être brutal.
Mon conseil, si tu gères de l’informatique dans une boîte, quelle qu’elle soit : prends les 18 mois au sérieux. Pas comme une prédiction d’apocalypse, comme un compte à rebours. Applique tes patchs. Ferme tes ports. Sauvegarde ailleurs. Et si tu peux, fais-toi auditer, même modestement, même avec un outil automatisé. Le reste, c’est du blabla de conférence.
Et si tu ne sais pas par où commencer, appelle quelqu’un. Un indépendant, un prestataire, peu importe. Mais appelle avant la page de rançon, pas après. Ça change tout.
Source de l’article original : 01net.com — « La situation va empirer » : après le chaos PHP, Anthropic prédit d’autres turbulences sur l’Internet mondial.
Source : article original
