La National Security Agency américaine a lancé mercredi un avertissement urgent concernant deux vulnérabilités critiques dans PHP, le langage de programmation côté serveur qui alimente environ 70 % d'Internet — soit plus de 33 millions de sites web. Ces failles, baptisées « PHP Armageddon », existent dans toutes les versions de PHP depuis la sortie de la version 5 en 2004, et des correctifs ont déjà été publiés par la PHP Foundation.
La consigne de la NSA est sans détour : si un site ne peut pas être corrigé immédiatement, il doit être mis hors ligne jusqu'à ce que ce soit possible. Ces vulnérabilités permettent aux attaquants de s'infiltrer dans le système de fichiers ou la base de données d'un serveur. Elles ont été découvertes grâce à des outils d'IA d'OpenAI et de Wiz de Google — ce qui en fait à la fois un problème de sécurité détecté grâce à l'IA et un risque élevé à cause de l'IA.
L'IA a trouvé les failles — et l'IA les rend dangereuses
OpenAI a révélé que Calif, une société de tests de sécurité engagée dans son initiative « Patch the Planet », a trouvé l'une des failles en utilisant GPT-5.6 Sol. De son côté, l'équipe Wiz a utilisé son agent d'IA de sécurité Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol pour identifier plusieurs vulnérabilités PHP.
Les deux entreprises ont suivi des pratiques de divulgation responsable, en collaborant avec la PHP Foundation sur les correctifs avant de rendre l'information publique. Wiz a remercié Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft et Vercel pour leur aide dans les tests des correctifs.
La course pour corriger des millions de sites web
OpenAI affirme que les chercheurs ont découvert ces failles avant les pirates, et qu'aucune exploitation active n'avait été signalée au moment de la divulgation. Historiquement, ces vulnérabilités étaient trop difficiles à exploiter de manière fiable pour les attaquants.
