Tokyo (Japon) : Des sites web deviennent inaccessibles suite à la découverte de failles de sécurité critiques par l’IA.

Jeudi, des gouvernements et des entreprises du monde entier ont fermé des sites web dans une course contre la montre pour se protéger des piratages informatiques, après que l’intelligence artificielle a mis au jour des failles critiques dans un langage de programmation largement utilisé appelé PHP.

Selon Wiz Research, l’une des sociétés de cybersécurité ayant découvert les deux failles, PHP contribue au fonctionnement d’environ 70 % des sites web mondiaux, allant des boutiques en ligne et des médias d’information aux services gouvernementaux.

Créé au début des années 1990, PHP signifiait à l’origine « page d’accueil personnelle », mais signifie désormais « préprocesseur hypertexte » et se trouve à la base des plateformes de conception web populaires.

« Ces découvertes figurent parmi les vulnérabilités les plus graves découvertes dans PHP, et sans doute dans l’histoire du logiciel », indique un article de blog de Wiz.

Des modèles d’IA de plus en plus puissants peuvent repérer les failles du code informatique back-end qui étaient passées inaperçues aux yeux des humains pendant des années.

Cela a accentué les craintes en matière de cybersécurité, le nombre de vulnérabilités logicielles découvertes dans le monde en 2026 étant en voie de doubler approximativement le total record de l’année dernière.

« Absolument dévastateur » :

Les programmeurs PHP ont publié un correctif mercredi, et l’Agence nationale de sécurité américaine a demandé aux organisations de corriger immédiatement leurs sites ou de mettre hors ligne les systèmes vulnérables – un appel relayé par les autorités de la Chine à l’Union européenne.

Le service de renseignement sur les menaces d’Amazon a déclaré avoir identifié une tentative de piratage effectuée avant que les failles de sécurité de PHP ne soient rendues publiques.

« On ignore encore comment l’acteur a obtenu les informations d’exploitation », a-t-on déclaré, décrivant l’incident comme le « ciblage d’un pot de miel » à partir d’une connexion Internet anonymisée.

Mais Ryan Austin, qui a travaillé sur des problèmes liés à PHP pour la société de cybersécurité Calif, a déclaré à la BBC : « pour le moment, il ne semble pas que l’exploitation ait pris son essor ou se soit généralisée. »

Seuls les sites utilisant PHP sur leurs propres serveurs sont concernés. De nombreuses grandes plateformes sont construites sur d’autres langages de programmation ou font appel à des opérateurs capables d’installer rapidement le correctif et de rester en ligne.

Rahat Masood, maître de conférences en cybersécurité à l’Université de Nouvelle-Galles du Sud, à Sydney, a qualifié cette découverte de « véritablement dévastatrice ».

« Cela pourrait permettre à des attaquants d’accéder à vos serveurs sans aucune autorisation, sans nom d’utilisateur ni mot de passe », a-t-elle déclaré à l’AFP.

« Une fois qu’ils sont dans les serveurs, ils peuvent faire tout ce qu’ils veulent », a-t-elle ajouté, « du vol d’informations sensibles à la modification du contenu des sites web », exhortant les institutions à « prendre cela au sérieux ».

« Nouvelle phase » :

Les sites web d’agences gouvernementales dans des pays allant de l’Australie à la Finlande, en passant par les Pays-Bas et le Royaume-Uni, ont été parmi les plus touchés. Les services des compagnies d’assurance, des opérateurs de transport et des médias ont été interrompus pour maintenance d’urgence.

Des applications populaires, dont une application de suivi du sommeil pour Pokémon, ont également été temporairement mises hors ligne pendant la mise en œuvre du correctif, tandis que la fondation qui gère Wikipédia a averti les utilisateurs qu’ils pourraient subir des interruptions de service pendant la résolution des problèmes.

« Si vous utilisez PHP, il est impératif de mettre à jour dès maintenant », a déclaré la PHP Foundation, qui finance les développeurs travaillant sur ce langage, dans un article de blog.

Volker Dusch, ingénieur en sécurité au sein de la fondation, a déclaré au Wall Street Journal qu’il s’agissait du problème le plus grave auquel PHP ait été confronté depuis plus d’une décennie, le comparant à Heartbleed, une faille de 2014 qui avait déclenché une course mondiale pour la corriger.

La société de sécurité Calif a découvert les failles en août en utilisant le modèle GPT-5.6 Sol d’OpenAI, dans le cadre d’un audit du code PHP financé par OpenAI.

OpenAI a déclaré que cette découverte « marque une nouvelle phase, où l’IA peut trouver des failles de sécurité ayant un impact à l’échelle d’Internet ».

Wiz, qui appartient à Google, a déclaré les avoir trouvés indépendamment des semaines plus tard avec l’aide de modèles d’IA, notamment Gemini 4 Argon et GPT-5.6 Sol de Google.

Les défauts avaient été signalés en privé aux développeurs de PHP et sont restés confidentiels le temps de préparer un correctif.

L’IA alimente l’urgence

Des détails ont fuité en ligne mardi, la veille de la publication prévue du correctif, ce qui a provoqué une urgence à mettre les sites hors ligne avant que les pirates informatiques ne puissent les exploiter.

Steve Kerrison, maître de conférences en cybersécurité sur le campus singapourien de l’université James Cook, a déclaré à l’AFP que la crainte de voir des pirates informatiques utiliser l’IA pour exploiter rapidement et facilement les vulnérabilités de PHP avait renforcé l’urgence de réagir.

Les grandes institutions, des agences gouvernementales aux médias, devraient pouvoir réparer leurs sites web relativement rapidement, a déclaré Kerrison, mais d’autres pourraient rester vulnérables.

« Il y a des sites, des systèmes et des personnes qui n’en auront aucune idée et qui n’en auront toujours aucune idée pendant des jours, des semaines, voire des mois », a averti Kerrison.

Cela pourrait inclure des blogs gérés par des utilisateurs qui pourraient être utilisés comme armes pour propager des virus informatiques, envoyer des spams ou diffuser du contenu malveillant, a-t-il déclaré.

Avec AFP.