Une faille a existé dans la majorité d’Internet pendant 10 ans, jusqu’à ce que l’IA montre aux pirates comment l’exploiter. Le site web qui détient vos données a pu avoir une porte ouverte pendant une décennie, et l’IA vient juste de trouver la poignée. Les attaquants n’ont besoin d’aucun nom d’utilisateur ni aucun mot de passe, seulement d’une requête soigneusement conçue, et un serveur non corrigé leur appartient. La faille s’appelle « PHP2Shell ». Des chercheurs auraient utilisé un modèle avancé d’OpenAI pour comprendre comment l’exploiter, après qu’elle ait défié les experts pendant des années. Voici ce que cela signifie en langage simple, et ce que vous devez faire avant que quelqu’un ne l’utilise contre vous. PHP est le moteur qui fait fonctionner discrètement les sites WordPress, les boutiques en ligne, les portails gouvernementaux, les pages de paiement et de nombreux sites de projets crypto. Environ 7 sites sur 10 dont le langage serveur est connu fonctionnent dessus. Les deux failles résident dans PHP lui-même, pas dans le site construit dessus. Un attaquant envoie la bonne requête et peut exécuter ses propres commandes sur le serveur. À partir de là, il peut voler les données des clients, installer des logiciels malveillants, rendre le site inaccessible ou utiliser ce serveur comme porte d’entrée vers tout le reste du réseau. La partie IA est l’histoire réelle, et voici mon analyse : si l’IA peut transformer des bogues anciens en attaques fonctionnelles, le délai entre la découverte et les dommages vient d’être considérablement réduit. Les autorités le traitent ainsi. Le FBI aurait urgemment demandé aux sites incapables de corriger la faille de les mettre hors ligne, et une autorité nationale de cybersécurité a donné à chaque agence gouvernementale sept jours pour la corriger et rendre compte. Si vous vous contentez de naviguer sur le web, visiter un site PHP ne signifie pas que vous êtes piraté. Le vrai risque est que vos données personnelles soient stockées sur des sites encore non corrigés. Pour les utilisateurs de crypto, un site de projet piraté n’a pas besoin d’entrer directement dans votre wallet. Il lui suffit de remplacer un script pour que le bouton « connecter le wallet » que vous confiez mène à un code conçu pour vous vider. La correction existe déjà. Le projet PHP a publié des versions corrigées : 8.2.35 8.3.36 8.4.27 8.5.12 Si vous gérez un site web, voici la checklist : 1. Identifiez tous les sites et serveurs exécutant PHP, y compris ceux gérés par votre hébergeur ou votre développeur. 2. Mettez à jour PHP lui-même vers une version corrigée et redémarrez-le. Les mises à jour de thèmes ou de plugins ne suffisent pas ici. 3. Si vous ne pouvez pas corriger aujourd’hui, mettez le site hors ligne jusqu’à ce que vous puissiez le faire. 4. Vérifiez les journaux, les comptes administrateurs inconnus et les fichiers modifiés pour détecter des signes qu’un attaquant est déjà entré. 5. Obtenez une confirmation écrite de votre hébergeur ou développeur que la correction est bien en place. Ignorez tout message proposant une « mise à jour de sécurité PHP » ou demandant des mots de passe et un paiement. Les vraies corrections n’arrivent jamais par message privé. L’IA vient de réduire l’écart entre une faille cachée et une attaque active à moins que la plupart des entreprises n’en mettent pour se corriger. Ceux qui attendent encore sont déjà en retard.