70% du web en danger et ce n’est que le début… PHP2SHELL

Yasmine Douadi, fondatrice de Riskintel Media, revient sur la panique du 21 octobre, quand des sites publics majeurs sont tombés après la découverte de deux failles critiques dans PHP. Ces failles avaient pourtant été repérées dès 2024. Elle pose une question : les problèmes que l'IA met au jour existeraient-ils sans elle ? Et elle explique pourquoi, malgré les alertes de ses dirigeants, personne n'appuie sur le bouton d'arrêt de l'IA.

Les failles que l’IA déterre

Dans cette chronique de Riskintel Media, Yasmine Douadi revient sur la journée du 21 octobre, quand le site des impôts, celui de la CNIL, puis ceux de Météo France, des préfectures et du ministère de l’Intérieur sont devenus inaccessibles. En cause, deux failles critiques dans PHP, le moteur qui fait tourner selon elle 70 % des sites web, dont WordPress, et qui permettent de prendre à distance le contrôle d’un site. Quelques jours plus tôt, trois équipes de chercheurs avaient découvert ces failles et demandé d’éteindre les sites le temps de les corriger. Elle rappelle que la fondation PHP en avait repéré les premiers signes dès 2024, sans les corriger, faute d’organisation et parce qu’elle aurait sous-estimé la menace. Pour elle, l’IA n’a pas créé le problème : elle l’a révélé et a permis de le corriger vite ; la panique vient de ce que la faille et son mode d’exploitation ont fuité avant le correctif. Elle avance ensuite deux paradoxes. En révélant les failles inconnues, les « zero day » et les portes dérobées, l’IA menace l’industrie des logiciels espions comme Pegasus. Et, comme pour l’arme nucléaire, la dangerosité rend désirable : plus les dirigeants de l’IA alertent sur ses dangers, plus la valorisation de leurs entreprises grimpe, ce qu’elle illustre en comparant Anthropic à Walmart.

Sa conclusion : personne n’appuiera sur le « kill switch », chacun étant engagé dans une course, de l’utilisateur qui corrige un mail aux États qui mènent des frappes ciblées.

Les références de l’épisode

• PHP : le moteur qui fait tourner environ 70 % des sites web, selon la chronique.
• WordPress : l’outil de création de sites qui repose sur PHP.
• CNIL : son site figure parmi ceux tombés le 21 octobre.
• Pegasus : le logiciel espion cité comme exemple d’exploitation de failles inconnues.
• Anthropic : l’entreprise d’IA dont la valorisation est comparée à celle de Walmart.

Au fil de l’épisode

• 00:00:21 : une grande partie de l’internet menacée, pourquoi maintenant
• 00:00:44 : PHP, moteur de 70 % des sites web
• 00:01:10 : le 21 octobre, des sites publics inaccessibles
• 00:02:02 : des failles connues depuis 2024
• 00:02:53 : l’IA révèle-t-elle des problèmes qui n’existeraient pas sans elle
• 00:03:16 : l’« octobre noir » et les alertes des dirigeants de l’IA
• 00:06:06 : pourquoi ne pas appuyer sur le kill switch
• 00:06:30 : la fuite de la faille avant le correctif
• 00:07:11 : zero day, portes dérobées et logiciels espions
• 00:08:00 : la dangerosité comme argument de vente
• 00:08:44 : les valorisations boursières des entreprises d’IA

FAQ

Que s’est-il passé le 21 octobre avec PHP ?

Selon Yasmine Douadi, deux failles critiques ont été découvertes dans PHP, permettant de prendre à distance le contrôle de quasiment n’importe quel site. Le site des impôts, puis ceux de la CNIL, de Météo France, des préfectures et du ministère de l’Intérieur sont devenus inaccessibles, les chercheurs ayant conseillé d’éteindre les sites le temps d’appliquer un correctif.

Pourquoi ces failles n’avaient-elles pas été corrigées plus tôt ?

D’après la chronique, la fondation PHP avait repéré les premiers signes de ces failles dès 2024, mais n’a pas pu les corriger en raison de difficultés organisationnelles, et aurait sous-estimé la menace. Ce sont des équipes de chercheurs appuyées par l’IA, qui examine chaque ligne de code, qui les ont mises au jour.

Pourquoi l’IA dérange-t-elle les acteurs de la surveillance ?

Pour Yasmine Douadi, l’industrie des logiciels espions, comme Pegasus, repose sur des failles inconnues de tous sauf de certains États, les « zero day » et les portes dérobées. Si l’IA révèle ces failles au grand jour, elles sont corrigées et ne peuvent plus être exploitées en secret, ce qui menace ces acteurs de la surveillance de masse.