Un ancien code de base rencontre l'intelligence artificielle moderne

L'internet moderne repose sur des fondations remarquablement fragiles. Il a fallu l'intelligence artificielle pour signaler ce que les ingénieurs logiciels humains avaient négligé pendant une décennie : des vulnérabilités critiques dans PHP, le langage de script open source qui alimente environ 70 % des plateformes web, y compris Wikipédia et WordPress.

Avant que la Fondation PHP ne puisse publier un correctif complet, des détails techniques ont été divulgués sur les réseaux sociaux, déclenchant une course immédiate entre les défenseurs des systèmes et les acteurs malveillants. Amazon a détecté de multiples tentatives d'exploitation ciblant ses systèmes de leurre (honeypot) à l'aide d'une infrastructure anonymisée. Les responsables de la sécurité du géant du commerce de détail ont noté que les outils automatisés permettent désormais aux acteurs malveillants d'analyser les failles divulguées et de lancer des attaques en quelques minutes plutôt qu'en plusieurs mois.

La gravité technique est substantielle. Selon la National Security Agency des États-Unis, les faiblesses offrent souvent un chemin direct vers le système de fichiers ou la base de données du serveur, permettant aux attaquants de voler des données sensibles, de perturber les services ou de pénétrer plus profondément dans un réseau. L'agence de renseignement a souligné que ces failles existent dans PHP lui-même plutôt que dans les applications hébergées ou leurs configurations. OpenAI a également souligné la gravité de cette découverte, la décrivant comme l'un des problèmes de sécurité les plus marquants de mémoire récente.

Les réponses gouvernementales à travers l'Europe ont reflété des niveaux de précaution variables conformément aux directives de sécurité officielles. La Finlande a fermé ses services web publics, tandis que l'agence néerlandaise de cybersécurité a mis ses propres systèmes hors ligne à titre préventif. Les autorités de sécurité internationales, y compris celles d'Australie, du Royaume-Uni et de l'UE, ont exhorté les organisations utilisant PHP à appliquer les correctifs immédiatement ou à mettre hors ligne les infrastructures vulnérables jusqu'à ce que les mesures d'atténuation soient complètes. Le National Cyber Security Centre de Londres a conseillé que lorsque la remédiation immédiate n'est pas réalisable, les organisations devraient envisager de mettre le système hors ligne jusqu'à ce qu'il puisse être entièrement atténué.

Cet épisode révèle une absurdité structurelle au cœur de l'économie numérique moderne. Les géants de l'entreprise et les institutions étatiques dépendent fortement de code vieux de plusieurs décennies, maintenu par des collectifs open source, tout en injectant des milliards dans l'apprentissage automatique avancé. Lorsque l'intelligence artificielle peut auditer le code hérité plus rapidement que les organisations humaines ne peuvent gérer leurs opérations de sécurité internes, le rythme traditionnel des correctifs logiciels cesse d'être efficace.

Écrit par Martina Kirchner martina.kirchner@alpineweekly.com