Failles PHP : Anthropic prévient que le pire reste à venir
Après les failles PHP corrigées en urgence, Anthropic prévient que le risque cyber va s'aggraver pendant environ 18 mois.
La semaine a été rude pour les équipes de sécurité. En effet, les failles PHP corrigées en urgence ce mercredi 21 octobre en sont la preuve. Pourtant, le plus dur est devant nous, selon Jason Clinton. Il est responsable adjoint de la sécurité des systèmes d’information chez Anthropic. Il l’a affirmé sur X, ce jeudi 22 octobre.
Un avertissement d’Anthropic sur les 18 prochains mois
Jason Clinton estime que la situation va « empirer avant de s’améliorer ». Selon lui, la période difficile devrait donc durer environ un an et demi. Il invite les responsables de sécurité à saisir leur conseil d’administration sans attendre. Sa formule est claire : ne jamais gâcher une crise. En revanche, il précise que la demande d’aide ne doit pas porter sur l’IA, mais sur « l’élémentaire ».
Ce discours rejoint l’actualité récente. Ainsi, dans l’affaire des réfrigérateurs déréglés, l’agence française de la sécurité des systèmes d’information a relevé des « défauts de sécurisation élémentaires ». Autrement dit, les attaquants ont exploité des faiblesses basiques.
Or l’intelligence artificielle agit comme un accélérateur. Elle aide à dénicher des vulnérabilités simples. Elle permet également de trouver des brèches encore jamais identifiées. Les laboratoires d’IA le reconnaissent eux-mêmes. En avril, Anthropic a ainsi refusé de publier son modèle Claude Mythos. En effet, ce modèle était capable de découvrir des failles logicielles.
PHP2Shell : deux failles PHP découvertes avec l’IA
Le surnom PHP2Shell désigne deux failles critiques dans PHP. Ce langage de script fait notamment tourner WordPress. Selon Wiz, il équipe environ 70 % des sites web. Les correctifs ont donc été publiés en urgence le 21 octobre.
Wiz, société de cybersécurité rachetée par Google, a publié un billet technique. Elle y explique que le code vulnérable sommeillait dans PHP depuis plus de dix ans. Cependant, transformer ce défaut en attaque fonctionnelle exigeait une longue chaîne d’étapes. Cette chaîne se situait « à la limite » de ce que des chercheurs humains pouvaient réaliser.
L’IA a levé ce verrou. Wiz a combiné les modèles Gemini 4 Argon de Google et GPT-5.6 Sol d’OpenAI avec son outil maison, Atlas. Par ailleurs, OpenAI parle d’une des vulnérabilités les plus lourdes de conséquences de ces dernières années. Elle assure qu’elle a été trouvée avant les attaquants. Ainsi, les défenseurs auraient gagné du temps.
Raluca Ada Popa est responsable de la sécurité de Gemini chez Google DeepMind. Elle insiste quant à elle sur le rôle de Gemini 4 Argon.
Une paternité des failles PHP disputée
La chronologie de la découverte a suscité une polémique. En réalité, Wiz n’est pas la première à avoir repéré le problème. Ryan Austin, chercheur chez Calif, une société de sécurité californienne, a identifié les premières failles dès le 1er août. Il s’appuyait sur GPT-5.6 Sol. Ensuite, il les a signalées à PHP le 11 août.
Wiz affirme avoir fait sa propre découverte le 19 août. Son signalement date en revanche du 24 août. Il s’agit donc de deux trouvailles indépendantes. Cela explique les revendications concurrentes.
Toutefois, l’essentiel est peut-être ailleurs. Le calendrier de Jason Clinton n’est pas anodin. En juin, il estimait qu’il restait sept à dix mois. Les modèles à poids ouverts atteindraient alors ce niveau en cybersécurité. Ces modèles publient leurs paramètres. N’importe qui peut donc les faire tourner chez soi.
Il prévoyait alors « la période la plus difficile » de la carrière des spécialistes, sur environ 18 mois. Et après ? Interrogé sur X, il a répondu « vulnzero », soit zéro vulnérabilité. À terme, de petits modèles bon marché aideraient les développeurs. Ainsi, ils corrigeraient les failles avant la mise en ligne du code.
Par ailleurs, ce discours sert aussi les intérêts d’Anthropic. L’entreprise vend l’accès à des modèles de plus en plus performants. Depuis avril, elle réserve Claude Mythos à quelques sociétés triées sur le volet. L’enjeu cyber est donc aussi économique.
L’inquiétude dépasse d’ailleurs le cercle de la sécurité. John Milinovich développe des fonctions d’IA chez Figma. Il a publié le 22 octobre un long texte intitulé « Black October ». Il a été vu environ un million de fois sur X. Selon lui, la requête à l’origine de la faille était littéralement « trouve des vulnérabilités dans PHP ». Cette version est sans doute réductrice. Calif souligne en effet que la connaissance de l’histoire du code a compté.
Ce qu’il faut retenir
- Jason Clinton prévoit une aggravation du risque cyber pendant environ 18 mois.
- PHP2Shell regroupe deux failles critiques de PHP, corrigées le 21 octobre.
- Le code vulnérable existait depuis plus de dix ans.
- Calif (1er août) et Wiz (19 août) ont fait des découvertes indépendantes.
- La priorité immédiate reste d’appliquer sans délai tous les correctifs de sécurité.
Autrement dit, la consigne est simple. Il faut mettre à jour systèmes et logiciels dès que les correctifs sont disponibles. Cela ne demande pas de tout bouleverser en interne. En outre, c’est précisément l’une des bases que Jason Clinton invite à financer en priorité.