Des IA ont découvert la faille qui expose 7 sites web sur 10 à une prise de contrôle totale

L’intelligence artificielle sert désormais à dénicher des failles de sécurité. Deux d’entre elles viennent d’être corrigées dans PHP, le langage qui fait tourner la grande majorité des sites web. Des tentatives d’attaque ont été repérées avant même l’annonce publique.

Depuis quelques mois, l’intelligence artificielle bouscule les méthodes des chercheurs en sécurité. Traquer un défaut dans des millions de lignes de code demandait autrefois des semaines de travail manuel. Désormais, des modèles de langage épluchent les programmes à la place des humains. Cette automatisation profite aux défenseurs comme aux attaquants. Côté correctifs, le rythme s’accélère, et une faille dans 7-Zip a déjà forcé les utilisateurs à installer une mise à jour en catastrophe.

Cette méthode vient de produire son résultat le plus spectaculaire. Plusieurs chercheurs ont lâché des systèmes d’IA sur le composant qui exécute les pages web. Entre de mauvaises mains, ces outils servent aussi à l’attaque, puisque les modèles d’OpenAI ont déjà mené seuls une cyberattaque contre une plateforme en ligne. Leur trouvaille concerne cette fois des millions de sites WordPress.

PHP colmate deux failles capables de livrer les sites WordPress aux pirates

La recherche publiée par Wiz décrit deux failles critiques dans PHP, le programme qui fabrique les pages web au moment où le visiteur les réclame. Noté 9,2 sur 10, le défaut autorise un inconnu à lancer ses propres commandes à distance, sans mot de passe. Aucun mot de passe ne lui sert. L’attaquant lit au passage la mémoire du serveur, là où circulent identifiants, jetons de connexion et clés d’accès. Il peut ensuite maquiller les pages, aspirer un fichier d’abonnés ou laisser une porte dérobée derrière lui.

Le propriétaire du site n’y est pour rien, puisque le trou se cache dans PHP et non dans ses pages. Selon l’éditeur à l’origine de la découverte, ce langage motorise environ 70 % des sites de la planète. Blogs WordPress, boutiques Magento, forums Joomla, tous restent ouverts aux intrus avec un hébergement resté en version ancienne. Côté attaques, les serveurs pièges d’Amazon ont repéré une première tentative le 17 octobre, quatre jours avant l’annonce. Depuis, les correctifs sont sortis en versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La plupart des hébergeurs mutualisés les ont appliqués pour leurs abonnés. Une machine gérée seul réclame une vérification. Le danger reste entier sans elle.