Une faille critique dans PHP, le langage informatique qui fait tourner environ 70 % des sites web, a poussé des milliers d’entre eux à se mettre hors ligne. Mais ce qui inquiète le plus est son origine : la faille a été repérée par des intelligences artificielles, avant que les experts ne la détectent. Les correctifs se poursuivent, mais des spécialistes préviennent que d’autres failles de ce type pourraient être découvertes, et exploitées par des pirates.

Des milliers de sites ont été mis en maintenance dans le monde après la découverte d’une faille informatique majeure dans PHP, le langage de programmation qui fait tourner environ 70 % des sites web. Le point le plus inquiétant tient à l’origine de cette découverte : c’est une intelligence artificielle qui a révélé ces failles.

Fin août, des IA de pointe, celles des géants américains OpenAI et Google, ont été utilisées par la société de cybersécurité Wiz et d’autres groupes pour repérer des failles dans le code de PHP. Cette trouvaille a été gardée secrète le temps qu’un correctif soit élaboré. Mais il y a deux jours, l’information a fuité. Pour éviter que ces failles ne soient exploitées par des pirates, de nombreux sites ont préféré se mettre hors ligne le temps d’appliquer les corrections.

« Sans l’IA, on n’aurait peut-être pas découvert cette faille »

Créé au début des années 1990, PHP fait fonctionner des sites dits « dynamiques ». Contrairement à un site statique, qui envoie toujours la même page à tous les visiteurs, un site en PHP génère son contenu à la demande : il consulte une base de données, vérifie si l’utilisateur est connecté, affiche des informations personnalisées ou met à jour le contenu en temps réel. PHP est au cœur de plateformes très répandues, comme WordPress, Drupal ou PrestaShop. Les failles découvertes pourraient donc permettre à des pirates de s’introduire dans un grand nombre de ces sites, des boutiques en ligne aux services publics.

« Sans l’aide de l’intelligence artificielle, on n’aurait peut-être pas découvert cette faille, reconnaît Clément Domingo, expert en cybersécurité, au micro de Pierre Olivier, du service Économie de RFI. Voici ce qu’on est désormais en train de vivre avec ces IA, qui ont la capacité d’aller fouiller du code, de comprendre des choses que même des équipes d’experts n’auraient pas trouvées. »

L’intelligence artificielle pour détecter et réparer les failles ?

Ces failles, difficiles à détecter pour un humain, pourraient servir aux pirates. « Peut-être que dans les prochains jours, dans les prochaines semaines, on va retrouver beaucoup plus ce type de vulnérabilités, prévient Clément Domingo. Ça veut donc dire qu’on va souffrir numériquement, parce qu’une fois que ces failles-là sont découvertes, forcément, il va y avoir des cybercriminels, des puissances étrangères qui vont utiliser ça pour venir nous pirater et récupérer des données. »

OpenAI a qualifié ces failles de « l’une des vulnérabilités les plus marquantes de ces dernières années ». Selon l’Agence de sécurité nationale américaine, elles « offrent souvent un accès direct au système de fichiers ou à la base de données du serveur », ce qui permettrait de prendre le contrôle de ces serveurs sans mot de passe.

Mettre un site hors ligne ne signifie pas forcément qu’il a été piraté. Pour Dimitrios Salampasis, de la Swinburne University of Technology en Australie, c’est une mesure responsable le temps d’appliquer les mises à jour. Jusqu’ici, les chercheurs en sécurité constatent que personne n’a mené d’attaques actives à l’aide de ces techniques.

Reste un point positif : si l’IA a permis de détecter ces failles, elle peut aussi aider à les sécuriser à grande échelle.

(Source : RFI, 22 octobre 2026)