L'IA déterre une faille PHP vieille de vingt ans : le web tunisien a rendez-vous avec ses mises à jour

1,5 million. C'est le nombre de serveurs qui, selon la société d'analyse Censys, tournaient encore cette semaine avec une version de PHP non corrigée, sur environ 2,6 millions recensés. Le chiffre donne le vertige quand on sait d'où vient l'alerte.

Mercredi 21 octobre, les mainteneurs de PHP ont publié en urgence des correctifs pour deux vulnérabilités critiques, notées jusqu'à 9,2 sur 10. Elles dormaient dans le code depuis l'époque de PHP 5, soit près de vingt ans. Et ce ne sont pas des humains qui les ont trouvées les premiers. Ce sont des machines.

Une découverte faite par des machines

Selon les informations publiées par TechCrunch et reprises par la presse internationale, la société de cybersécurité Calif a repéré la première faille le 1er août à l'aide d'un grand modèle de langage. De son côté, Wiz, filiale d'Alphabet, affirme avoir trouvé les deux failles de manière indépendante grâce à son agent Wiz Atlas, appuyé sur des modèles de Google et d'OpenAI.

Le problème, c'est que les détails ont fuité avant la publication du correctif. Résultat : une course contre la montre.

Des sites publics ont été mis hors ligne par précaution en France, aux Pays-Bas, en Belgique et en Australie. L'agence néerlandaise de cybersécurité a elle-même débranché son site. L'Internet Archive a été brièvement inaccessible. Côté Drupal, la direction a prévenu que tous les serveurs utilisant une version de PHP publiée au cours des vingt dernières années étaient exposés.

Pourquoi c'est énorme

PHP n'est pas un langage parmi d'autres. D'après le service de mesure W3Techs, il fait tourner environ 75 % des sites web dont la technologie côté serveur est identifiable. C'est le moteur de WordPress, de Drupal, de Joomla ou de Magento.

Autrement dit, ce n'est pas une faille dans un logiciel de niche. C'est une fissure dans les fondations d'une grande partie du web.

Les versions corrigées s'appellent PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Tout ce qui est plus ancien, ou non mis à jour, reste à risque.

Et la Tunisie dans tout ça ?

C'est ici que l'histoire nous concerne directement.

En Tunisie, une très grande partie des sites web, qu'il s'agisse de vitrines de PME, de boutiques en ligne, de médias, d'associations ou de portails institutionnels, repose sur WordPress ou sur des développements maison en PHP. C'est le langage avec lequel des générations de développeurs tunisiens ont appris le web, et celui que proposent la plupart des hébergeurs mutualisés.

Le problème n'est pas PHP en lui-même. Le problème, c'est la maintenance.

Combien de sites ont été livrés par un prestataire il y a cinq ou huit ans, puis laissés en l'état ? Combien tournent encore sur PHP 7, voire plus ancien, faute de budget ou simplement parce que « ça marche » ? Dans beaucoup d'entreprises, personne n'a la responsabilité claire de la mise à jour du serveur.

C'est exactement le profil de cible que les attaquants vont chercher dans les prochaines semaines. Les experts interrogés par la presse internationale s'attendent à une vague d'intrusions, le temps que les correctifs se diffusent.

Pour un site tunisien, le risque n'est pas théorique : vol de données clients, défiguration, injection de pages frauduleuses, utilisation du serveur pour d'autres attaques. Sans parler de l'atteinte à la réputation.

L'IA, gardienne et cambrioleuse

Cette affaire marque un tournant que nous avions déjà évoqué dans AI Baba : l'intelligence artificielle est devenue un acteur à part entière de la cybersécurité.

D'un côté, elle permet de relire en quelques semaines des millions de lignes de code que personne n'avait vraiment auditées depuis des années. Deux failles critiques restées invisibles pendant deux décennies, trouvées par des outils automatisés : c'est une victoire pour la défense.

De l'autre, les mêmes outils rendent l'exploitation plus rapide. Un spécialiste cité par plusieurs médias parle d'une « course à l'exploitation » pilotée par l'IA. Ce qui demandait autrefois des jours d'analyse à un pirate expérimenté peut désormais être accéléré par un modèle capable de comprendre un correctif et d'en déduire la faille.

Ce n'est pas l'IA qui est dangereuse. C'est l'écart de vitesse entre ceux qui l'utilisent pour attaquer et ceux qui tardent à patcher.

Ce que les entreprises tunisiennes devraient faire cette semaine

La réponse est simple, presque banale, mais elle est rarement appliquée.

D'abord, savoir. Chaque entreprise, administration ou association devrait vérifier aujourd'hui quelle version de PHP fait tourner son site. Un simple appel à l'hébergeur ou au prestataire suffit souvent.

Ensuite, mettre à jour vers l'une des versions corrigées, ou demander à l'hébergeur de le faire. Pour les sites trop anciens pour être mis à jour sans casse, il vaut mieux envisager une mise hors ligne temporaire qu'une exposition prolongée.

Enfin, désigner un responsable. La sécurité d'un site n'est pas un projet ponctuel, c'est une hygiène. En Tunisie, l'Agence nationale de la cybersécurité publie régulièrement des alertes et des recommandations : les suivre devrait devenir un réflexe, pas une option.

Une opportunité pour les talents locaux

Il y a aussi une lecture plus positive.

La Tunisie forme chaque année des milliers d'ingénieurs et de développeurs, et beaucoup travaillent déjà pour des clients européens. L'audit de code assisté par IA, la maintenance de parcs web et la réponse aux incidents sont des métiers qui vont exploser.

Une jeune pousse tunisienne capable de proposer à des PME locales et étrangères un service de veille et de correction rapide, appuyé sur des outils d'IA, aurait aujourd'hui un argument commercial imparable.

Ce n'est pas la fin de PHP

Ne tombons pas dans le catastrophisme. PHP reste un langage robuste, maintenu par une communauté de bénévoles qui a réagi vite. Des failles graves existent dans tous les écosystèmes, et les correctifs sont disponibles.

Mais cette affaire rappelle une vérité que l'IA rend plus urgente : le code que l'on n'entretient pas finit toujours par nous rattraper. Désormais, ce sont des machines qui viennent frapper à la porte.

Entre deux makrouds et un verre de thé, la question à poser à son prestataire tient en une phrase : « Notre site est-il à jour ? » Si la réponse tarde, c'est déjà une réponse.