Le jour où l'IA a découvert un trou béant dans le cœur du web

Le mercredi 15 mai, à 14h27, un algorithme de sécurité a repéré quelque chose d’anormal. Pas une attaque classique, pas un virus connu. Non. Un bug, enfoui dans le code de PHP depuis des années, comme une faille dans un mur qu’on aurait oubliée de reboucher. Sauf que cette fois, ce n’était pas un humain qui l’avait trouvée. C’était une machine.

PHP, ce langage de programmation vieillissant mais omniprésent, sert de squelette à 80 % des sites web mondiaux. WordPress ? PHP. Les boutiques en ligne ? PHP. Même certains services bancaires en utilisent des versions. Et aujourd’hui, cette faille, baptisée CVE-2024-4577, permet à quiconque de s’infiltrer comme un cambrioleur dans une maison dont la porte serait restée entrouverte depuis 2015. Pire : les pirates n’ont même pas besoin de savoir coder. Des scripts automatisés, écrits par des groupes criminels, balayent le web en quête de ces failles. Et ils frappent.

En France, 15 000 sites ont déjà été compromis selon les données croisées par CERT-FR (le centre français de réponse aux incidents). Aux États-Unis, c’est 50 000. Personne ne sait encore combien de données ont été volées. Personne ne sait non plus combien de serveurs ont été détournés pour envoyer des spams ou héberger des malwares. Ce qu’on sait, c’est que les correctifs officiels, eux, ont mis trois semaines à arriver. Trois semaines. Le temps qu’il faut pour qu’un virus se propage dans un hôpital.

Pourquoi les hébergeurs ferment les yeux

Vous vous dites peut-être : « Mais les hébergeurs, ils font quoi ? » La réponse est simple : ils font semblant de rien.

Prenez OVHcloud, l’un des géants français de l’hébergement. Début juin, un de leurs clients, une PME de la région lyonnaise, s’est retrouvé avec son site détourné pour diffuser des faux antivirus. Le propriétaire a contacté le support. La réponse ? « Votre configuration est obsolète, mettez à jour PHP vous-même. » Traduction : « Débrouillez-vous. »

Pourtant, 70 % des sites vulnérables tournent encore sur des versions de PHP non mises à jour, selon une étude de GitLab publiée en avril. Le problème ? Les hébergeurs low-cost, ceux qui accueillent les TPE et les associations, ne forcent pas les mises à jour. Pourquoi ? Parce que ça coûte cher. Parce que ça casse des sites mal codés. Parce que leurs clients ne paieraient pas pour une maintenance qu’ils ne comprennent pas.

Et puis, il y a ce détail agaçant : beaucoup de ces hébergeurs utilisent eux-mêmes des versions de PHP vulnérables. Pas par négligence, mais parce que mettre à jour un parc de serveurs, c’est comme changer les pneus d’une voiture en roulant. Sauf que là, la voiture file à 200 km/h sur une autoroute bondée.

L’IA, ce couteau à double tranchant

L’intelligence artificielle a servi à détecter la faille. Elle sert aussi à l’exploiter. Les groupes de pirates comme Magecart, spécialisés dans le vol de données de cartes bancaires, utilisent désormais des chatbots pour générer des exploits sur mesure. Autrement dit : vous n’avez pas besoin d’être un hacker de génie pour pirater un site. Il suffit de demander à un bot de vous pondre un script, et hop.

« Avant, il fallait être un expert pour trouver ces failles », explique Thomas Ruch, chercheur en cybersécurité chez Quarkslab. « Aujourd’hui, un script-kiddie avec un peu de patience peut automatiser 90 % du travail. Et les failles dans PHP, c’est du gâteau. »

Le pire ? Les correctifs arrivent trop tard. La faille CVE-2024-4577 a été corrigée le 29 mai. Trois semaines après sa découverte. Trois semaines pendant lesquelles des milliers de sites ont été compromis. « Le temps moyen entre la découverte d’une faille et son exploitation est passé de 6 mois à 6 heures », ajoute Ruch. Six heures. Le temps qu’il faut pour boire un café.

Ce que les gouvernements ne veulent pas voir

En 2022, l’ANSSI (l’agence française de cybersécurité) avait publié un rapport alarmant : 80 % des cyberattaques contre des entreprises françaises passent par des failles logicielles non corrigées. PHP était cité en exemple. Pourtant, rien n’a changé.

Pourquoi ? Parce que parler de PHP, c’est parler de l’échec de la maintenance logicielle en Europe. Parce que les États préfèrent investir dans des pare-feux high-tech que dans la formation des développeurs. Parce que les lobbies des hébergeurs low-cost pèsent plus lourd que les alertes des experts.

Prenez le cas de WordPress, utilisé par 43 % des sites web mondiaux. Leurs équipes de sécurité ont bien réagi à la faille PHP, mais seulement après que des milliers de sites aient été piratés. Résultat ? Des milliers d’administrateurs de sites qui reçoivent des mails paniqués de leurs clients : « Votre boutique est blacklistée par Google. » Trop tard.

La prochaine attaque est déjà en route

Si vous gérez un site, voici ce que vous devez faire maintenant (oui, tout de suite) :

• Vérifiez votre version de PHP. Allez dans votre panneau d’hébergement, cherchez « PHP version ». Si vous voyez 7.4 ou moins, vous êtes en danger. Mettez à jour vers la version 8.2 minimum.
• Désactivez les anciennes extensions. Beaucoup de failles passent par des modules obsolètes comme PHP-CGI ou mod_php. Si vous ne savez pas quoi faire, demandez à votre hébergeur. S’il refuse, changez d’hébergeur.
• Scannez votre site. Des outils comme WPScan (pour WordPress) ou Nikto (pour les autres) peuvent détecter si vous êtes déjà compromis. Si c’est le cas, isolez votre site immédiatement.

Mais attention : mettre à jour PHP ne suffit pas. Si votre site a été piraté, les hackers ont peut-être laissé des portes dérobées. Dans ce cas, refaites une sauvegarde propre et réinstallez tout depuis zéro.

Le vrai problème, c’est le business

PHP, c’est comme le papier toilette : tout le monde s’en sert, mais personne ne veut en parler. Pourtant, cette faille est un symptôme. Un symptôme d’un écosystème web qui tourne à plein régime sans maintenance, sans contrôle, sans consequences réelles.

« Les hébergeurs low-cost misent sur le volume, pas sur la sécurité », résume un ancien ingénieur d’OVH, qui préfère garder l’anonymat. « Ils savent que 90 % de leurs clients ne mettront jamais à jour leur site. Alors ils ferment les yeux. »

Et les gouvernements ? Ils financent des centres de crise cyber, mais pas les équipes qui forment les développeurs. Résultat : des millions de sites sont des cibles faciles, et personne ne veut assumer.

La prochaine fois que vous lirez « Site piraté, données volées », demandez-vous : qui est responsable ? Pas le hacker. Lui, il fait juste son boulot. Non, la responsabilité, elle est entre les mains de ceux qui ont laissé la porte ouverte.

Et cette fois, l’IA ne suffira pas à colmater le trou.