La gigantesque faille de sécurité PHP d’aujourd’hui n’est qu’un début : IA, failles cachées et cyberattaques qui mettront tout à mal

Ce matin, nous avons rendu compte de PHP2Shell, une faille de sécurité majeure qui menaçait une grande partie d’Internet. Des sites web gouvernementaux ont été mis hors ligne, les agences de sécurité ont émis des alertes d’urgence et les entreprises du monde entier se sont empressées de corriger leurs systèmes, qui risquaient d’être pris d’assaut par des pirates informatiques sans même qu’un mot de passe ait été volé.

Dès cet après-midi, la situation s’était considérablement aggravée.

Nous en avons appris davantage sur la manière dont l’intelligence artificielle a permis de découvrir ces failles, depuis combien de temps certaines de ces vulnérabilités étaient présentes dans les logiciels utilisés par des millions de sites web, et comment cette même technologie pourrait bientôt rendre la détection et l’exploitation de ces failles de sécurité plus faciles que jamais.

Puis sont venues les informations concernant d’autres catastrophes en matière de sécurité. Une autorité de certification de confiance utilisait des clés de chiffrement dangereusement faibles. Un fournisseur de bases de données dans le cloud a confirmé que des attaquants avaient accédé à ses systèmes internes et volé des informations. Des pirates exploitaient des failles dans des serveurs multimédias domestiques, tandis qu’une autre attaque impliquait des identifiants volés utilisés pour installer des portes dérobées sur des sites WordPress.

Et le développement le plus inquiétant est peut-être venu d’OpenAI elle-même. L’entreprise a reconnu que ses chercheurs avaient déjà découvert plusieurs autres failles de sécurité importantes qui sont encore en cours de correction, et qu’elle s’attend à ce que le nombre de ces découvertes augmente fortement au cours des prochains mois.

Cela fait des mois que nous mettons en garde contre le danger des cyberattaques basées sur l’IA. Nous avons notamment alerté sur les conséquences si ces systèmes venaient à être utilisés contre nos infrastructures bancaires, nos réseaux de communication, nos réseaux électriques, nos réseaux d’approvisionnement en eau et les services numériques sans lesquels la société moderne ne peut plus fonctionner.

Ce qui s’est passé aujourd’hui est un nouvel avertissement : ces craintes ne relèvent pas d’un scénario de science-fiction lointain. Les outils existent déjà, les failles sont bien réelles, et nous constatons que le délai entre la découverte d’une faille de sécurité et la première tentative d’exploitation de celle-ci se réduit considérablement.

Tôt ou tard, notre chance finira par tourner.

La catastrophe PHP d’aujourd’hui montre comment l’IA pourrait contribuer à tout faire s’effondrer

La plupart des Américains n’ont jamais entendu parler de PHP, mais c’est l’une des technologies qui font fonctionner Internet. Il sert à faire tourner des sites web, à traiter des requêtes, à communiquer avec des bases de données et à alimenter les applications dont les entreprises et les administrations publiques dépendent au quotidien.

WordPress, Drupal, Joomla et d’innombrables autres plateformes en dépendent. Ce langage est utilisé par environ 70 % des sites web dont le langage de programmation côté serveur peut être identifié, même si cela ne signifie pas pour autant que chacun de ces sites était nécessairement vulnérable.

Le 21 octobre, des chercheurs ont rendu publiques deux vulnérabilités critiques de PHP, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, connues collectivement sous le nom de PHP2Shell. Selon le système, les attaquants pourraient potentiellement les exploiter pour exécuter du code malveillant à distance, accéder à des informations sensibles ou perturber des services.

Ces failles concernaient des versions de PHP datant de plus d’une décennie, et une partie du code sous-jacent était considérablement plus ancienne.

Les chercheurs en sécurité de Wiz ont démontré comment des pirates pourraient exploiter des configurations vulnérables sur les principales plateformes, notamment WordPress et Drupal. Les failles se trouvaient dans PHP lui-même plutôt que dans un plugin de site web particulier, ce qui rendait le problème bien plus grave qu’une simple alerte de sécurité WordPress.

Ces vulnérabilités ont reçu une note de gravité atteignant 9,2 sur 10.

Les gouvernements ont réagi en mettant hors ligne les sites web vulnérables le temps que des mises à jour d’urgence soient préparées. Les agences de sécurité ont appelé à une action immédiate, avertissant les organisations incapables d’appliquer des correctifs à leurs systèmes d’envisager de déconnecter temporairement les services concernés.

Ce qui rend cette situation particulièrement préoccupante, c’est que le logiciel n’a pas été récemment compromis par une nouvelle mise à jour malveillante. Ces failles existaient depuis des années, dans un code que les développeurs et les chercheurs en sécurité avaient examiné d’innombrables fois.

Reuters a également rapporté que l’un des problèmes sous-jacents avait été identifié sous une forme plus limitée en 2024, mais que son plein potentiel d’exploitation n’avait pas été reconnu. La Fondation PHP a reconnu que sa gestion de ce rapport antérieur constituait un échec.

Réfléchissez-y un instant. Une faille potentiellement catastrophique dans l’un des langages de programmation les plus utilisés sur Internet existait depuis des années, et même un avertissement antérieur n’avait pas suffi à la faire corriger.

Le logiciel n’est pas devenu vulnérable du jour au lendemain cette semaine. Nous avons simplement fini par développer de meilleurs outils pour comprendre à quel point il l’était depuis le début.

L’intelligence artificielle vient de changer les règles de la cyberguerre

Les vulnérabilités PHP2Shell ont été découvertes indépendamment par des chercheurs en sécurité travaillant avec des systèmes d’IA avancés.

Une entreprise de cybersécurité appelée Calif a identifié une faille critique à l’aide du modèle GPT-5.6 Sol d’OpenAI dans le cadre d’une initiative baptisée « Patch the Planet ». Les chercheurs de Wiz, chez Google, ont également identifié ces vulnérabilités de manière indépendante en combinant plusieurs outils, dont Gemini 4 Argon de Google et le modèle d’OpenAI.

Selon Wiz, l’IA a permis à un chercheur d’accomplir en environ une semaine ce qui aurait auparavant nécessité des mois de travail de la part d’une équipe de sécurité d’élite.

C’est cette partie de l’histoire qui devrait inquiéter tout le monde.

Pendant des décennies, la détection et l’exploitation de failles logicielles complexes nécessitaient des connaissances spécialisées, un équipement coûteux et un temps considérable. Il y a toujours eu des hackers chevronnés, tout comme des organisations criminelles et des agences de renseignement étrangères capables de découvrir de graves failles.

Mais ces barrières techniques limitaient le nombre de personnes réellement en mesure de mettre au point des attaques sophistiquées.

L’IA commence à faire tomber ces barrières.

Nous entrons dans une ère où un seul chercheur, aidé par des modèles puissants et des outils de test automatisés, pourrait être en mesure d’examiner d’énormes quantités de code informatique, de repérer des failles obscures, de mettre au point des moyens de les exploiter et de répéter le processus sur des systèmes totalement différents.

À l’heure actuelle, une grande partie de ce travail est effectuée par des chercheurs en sécurité légitimes qui s’efforcent de détecter les vulnérabilités avant que les criminels ne le fassent. C’est évidemment une bonne chose. Mais prétendre que ces capacités resteront l’apanage des chercheurs responsables serait d’une naïveté dangereuse.

Les pirates informatiques peuvent eux aussi utiliser l’IA. Il en va de même pour les gouvernements étrangers, les organisations terroristes, les groupes spécialisés dans les ransomwares et toute autre personne disposée à utiliser la technologie pour perturber des systèmes ou voler de l’argent.

Les mêmes méthodes qui aident un chercheur à identifier une vulnérabilité peuvent également aider un attaquant à étudier les correctifs de sécurité, à rechercher des faiblesses connexes et à développer des exploits efficaces.

Et contrairement au nombre relativement restreint d’experts qui pouvaient effectuer ces tâches par le passé, les outils automatisés peuvent potentiellement être déployés simultanément contre un très grand nombre de cibles.

Nous ne nous contentons pas de rendre les pirates informatiques plus performants. Nous rendons les capacités sophistiquées plus faciles à obtenir et moins coûteuses à utiliser.

OpenAI découvre déjà plus de vulnérabilités que quiconque ne peut raisonnablement ignorer

Le 21 octobre, OpenAI a publié un communiqué évoquant son implication dans la découverte de PHP2Shell et son engagement plus large dans l’identification des failles de sécurité dans les logiciels largement utilisés.

Cachée dans cette annonce se trouvait une admission qui mérite bien plus d’attention qu’elle n’en reçoit.

L’entreprise a reconnu que les vulnérabilités PHP faisaient partie de plusieurs problèmes de sécurité importants déjà découverts et toujours en cours de résolution. Elle a également indiqué qu’elle s’attendait à ce que les découvertes de ce type augmentent fortement dans les mois à venir.

Cela signifie que PHP2Shell n’est pas nécessairement la plus grande vulnérabilité découverte par les chercheurs en IA. Il s’agit simplement de l’un des problèmes graves qui a franchi toutes les étapes du processus complexe d’investigation, de développement de correctifs, de coordination et de divulgation publique.

L’annonce précédente d’OpenAI « Patch the Planet » a donné un aperçu de ce que ces systèmes sont déjà en train de mettre au jour.

Les chercheurs utilisant des outils de sécurité assistés par l’IA ont identifié des centaines de problèmes potentiels dans les principaux projets open source, dont beaucoup nécessitent une enquête plus approfondie. Leurs travaux ont notamment mis en évidence des failles affectant les systèmes d’exploitation, l’infrastructure Internet et les navigateurs Web les plus courants.

Certaines des découvertes signalées sont remarquables.

Les chercheurs ont identifié huit fuites d’informations du noyau (preuve de concept) et 24 exploits d’élévation de privilèges locaux impliquant Linux, le système d’exploitation qui équipe une part importante des serveurs dans le monde. Ils ont découvert une vulnérabilité vieille de 23 ans dans OpenBSD et confirmé des dizaines de vulnérabilités dans FreeBSD.

Leurs recherches sur les navigateurs ont mis au jour cinq vulnérabilités exploitables dans le moteur V8 de Chrome (Google) et plus de dix vulnérabilités exploitables dans Safari, au cours d’environ une semaine de travail ciblé.

Une autre découverte, baptisée « HTTP/2 Bomb », concernait une attaque par déni de service affectant les principales implémentations de serveurs web. Les chercheurs ont estimé que plus de 880 000 sites web accessibles depuis Internet utilisaient des logiciels potentiellement affectés avec le protocole en question activé.

Il ne s’agissait pas uniquement d’avertissements théoriques sur ce que l’IA pourrait accomplir un jour. Ces découvertes ont été réalisées par des chercheurs à l’aide de systèmes d’IA qui existent déjà.

Tous les problèmes potentiels ne se transforment pas en vulnérabilités exploitables, et les chercheurs humains doivent encore vérifier ces découvertes et contribuer à l’élaboration de correctifs fiables. Mais le nombre de découvertes soulève une question à laquelle personne n’a de réponse particulièrement rassurante.

Que se passera-t-il lorsque le nombre de vulnérabilités graves découvertes commencera à dépasser la capacité des développeurs, des hébergeurs, des agences gouvernementales et des entreprises ordinaires à les analyser et à les corriger ?

Nous sommes peut-être en train d’avoir un premier aperçu concret de ce problème.

Le délai entre la découverte et l’attaque s’effondre

La cybersécurité a toujours été une course entre les chercheurs qui tentent de corriger les failles et les pirates qui cherchent à les exploiter. Par le passé, les défenseurs disposaient au moins d’un peu de répit pour analyser les failles de sécurité, développer des correctifs et faire installer ces mises à jour avant que des attaques à grande échelle ne commencent. Ce système n’a jamais été parfait, mais l’IA rend une tâche déjà difficile exponentiellement plus ardue en permettant la découverte et l’exploitation des vulnérabilités à une vitesse que les équipes de sécurité traditionnelles ne peuvent tout simplement pas égaler.

PHP2Shell illustre parfaitement à quel point la situation devient dangereuse. Les détails des exploits auraient été publiés environ 14 heures avant la sortie des correctifs, fournissant ainsi aux pirates les instructions nécessaires pour attaquer les systèmes vulnérables avant même que les administrateurs ne disposent d’un correctif. Cloudflare détectait déjà des activités malveillantes alors que le secteur s’efforçait de réagir, et bien que l’entreprise ait déployé des protections d’urgence, ces mesures ne pouvaient se substituer à l’installation des mises à jour de sécurité proprement dites.

Le problème majeur est que la publication d’un correctif ne signifie pas pour autant que le danger disparaît. Des millions de sites web fonctionnent sur de vieux serveurs, avec des logiciels obsolètes et une infrastructure négligée dont personne n’assure la maintenance régulière. Certaines entreprises ne savent même pas quelles versions de PHP sont utilisées par leurs systèmes, tandis que d’autres dépendent d’applications si anciennes que les administrateurs craignent que leur mise à jour ne provoque une panne générale. Bon nombre de ces systèmes resteront probablement vulnérables pendant des mois, voire des années, et certains ne seront peut-être jamais corrigés.

Parallèlement, l’IA facilite l’identification des serveurs qui restent vulnérables, le développement d’exploits efficaces et l’automatisation des attaques contre un nombre considérable de cibles. Les pirates n’ont pas besoin que chaque site web soit vulnérable. Il leur suffit de repérer les milliers d’organisations qui n’ont pas installé la mise à jour, qui ne disposent pas des ressources techniques pour réagir, ou qui ne se rendent même pas compte qu’il y a un problème.

C’est ce qui rend la situation si dangereuse. Nous développons des outils capables de détecter et d’exploiter les failles de sécurité plus rapidement que jamais, alors qu’une grande partie de l’infrastructure dont nous dépendons fonctionne encore avec des logiciels obsolètes, gérés par des services informatiques surchargés, des agences gouvernementales sous-financées et des prestataires tiers. À terme, le délai entre la découverte d’une vulnérabilité critique et son exploitation pourrait devenir si court que les défenseurs n’auront tout simplement pas le temps de réagir avant que des dommages graves ne soient causés.

PHP2Shell n’était pas le seul désastre de sécurité de cette semaine

Alors qu’une grande partie du secteur technologique se concentrait sur PHP2Shell, plusieurs autres incidents de sécurité majeurs se déroulaient.

Ces attaques n’étaient pas toutes liées entre elles, et elles n’impliquaient pas toutes l’intelligence artificielle. C’est précisément pour cette raison qu’il vaut la peine de les examiner ensemble. Ces vulnérabilités touchent différentes technologies, différents secteurs d’activité et différentes couches de l’infrastructure numérique.

Les entreprises chargées d’assurer la confiance sur Internet utilisaient des clés de chiffrement faibles

Le 20 octobre, l’équipe de sécurité de Chrome chez Google a révélé que huit clés d’autorité de certification intermédiaire associées au système indien eMudhra avaient été compromises, car elles avaient été générées avec un niveau de randomisation insuffisant.

Les autorités de certification font partie du système utilisé par les navigateurs et autres applications pour déterminer si le site web chiffré auquel ils se connectent est fiable.

Lorsque vous consultez le site web de votre banque, réglez une facture ou vous connectez à un compte en ligne, ce système permet de vérifier que vous communiquez bien avec le service légitime et non avec un imposteur.

Les clés privées eMudhra concernées n’étaient pas suffisamment sécurisées, ce qui créait un risque que des pirates puissent falsifier des certificats HTTPS de confiance et usurper l’identité de sites web auprès de systèmes qui faisaient encore confiance à ces autorités compromises.

Google a pris des mesures pour bloquer les certificats concernés, et d’autres fournisseurs de plateformes ont également mis en place des mesures de protection.

Aucune preuve publique confirmée n’indique que des attaquants aient réussi à utiliser ces clés pour usurper l’identité de sites web avant la découverte du problème. Néanmoins, cet incident a mis en évidence une faille majeure dans une infrastructure qui repose sur la génération et la protection correctes d’identifiants cryptographiques de confiance.

Il ne s’agissait pas d’une nouvelle technique de piratage mystérieuse que personne n’aurait pu anticiper. Il s’agissait d’une défaillance touchant l’une des exigences les plus fondamentales du chiffrement moderne : la génération de clés privées imprévisibles.

Et nous sommes censés confier à ce système tout entier nos transactions bancaires, nos dossiers médicaux, nos communications professionnelles et pratiquement tous les autres aspects importants de notre vie numérique.

Des pirates ont passé plusieurs semaines au sein des systèmes d’une entreprise de bases de données dans le cloud

Le fournisseur de bases de données cloud PingCAP a également révélé un grave incident de sécurité impliquant un accès non autorisé à des ressources cloud internes.

D’après l’enquête menée par l’entreprise, un pirate a utilisé des identifiants de compte de service volés pour accéder à certains systèmes internes entre le 9 septembre et le 7 octobre, copiant des données et obtenant du code source avant que l’activité ne soit découverte.

Les données exposées comprenaient des informations sur certains comptes clients, des détails relatifs à des organisations et à des projets, des informations de facturation, le contenu de l’éditeur SQL ainsi que des valeurs de clés API chiffrées.

Un groupe se faisant appeler FulcrumSec a revendiqué l’attaque et affirmé avoir volé environ 10,6 téraoctets d’informations. Ce chiffre n’a pas été vérifié de manière indépendante, et les conclusions publiées par l’entreprise n’établissent pas que les attaquants aient accédé directement aux bases de données des clients.

PingCAP a déclaré que son enquête n’avait révélé aucune preuve indiquant que les données stockées dans les bases de données TiDB avaient été affectées. Cependant, l’entreprise a confirmé l’accès non autorisé et la fuite de données, et a conseillé à ses clients de renouveler les clés API de gestion concernées par mesure de précaution.

La question ici n’est pas de savoir si toutes les affirmations des attaquants s’avèrent exactes.

Ce qui importe, c’est qu’une organisation spécialisée dans les technologies de bases de données cloud ait confirmé que des identifiants volés ont permis à un attaquant de pénétrer dans ses systèmes internes pendant une période prolongée.

Les entreprises confient régulièrement d’énormes quantités d’informations sensibles à des services cloud, car on leur assure que les grands fournisseurs technologiques disposent de l’expertise et des ressources de sécurité nécessaires pour les protéger.

Il arrive pourtant que ces systèmes soient compromis malgré tout.

Et lorsque c’est le cas, les dégâts peuvent s’étendre bien au-delà de l’entreprise initialement attaquée.

Des serveurs Plex Media ont été piratés presque immédiatement après la divulgation publique des détails de l’exploit

Une autre série de vulnérabilités, regroupées sous le nom de « Plex2Shell », a affecté le logiciel Plex Media Server, que de nombreuses personnes utilisent pour diffuser en streaming leurs collections personnelles de films et de séries télévisées.

Ces quatre vulnérabilités pouvaient être combinées pour permettre aux attaquants d’exécuter du code sur des serveurs exposés sans disposer d’identifiants de connexion valides.

Des chercheurs ont divulgué des détails techniques et un code de preuve de concept, et des analystes en sécurité ont signalé que des attaquants exploitaient des installations vulnérables environ un jour plus tard.

Les attaquants déployaient des logiciels de minage de cryptomonnaies et des outils proxy pouvant permettre aux serveurs compromis de relayer d’autres flux de trafic Internet.

Plex avait corrigé ces vulnérabilités dans une mise à jour de sécurité antérieure, mais les systèmes qui n’avaient pas été mis à jour restaient exposés.

Réfléchissez à ce que cela signifie pour quelqu’un qui pense que la cybersécurité ne concerne que les banques et les grandes entreprises.

Un serveur multimédia personnel installé chez un particulier peut devenir un outil utilisé par des criminels, consommant potentiellement de l’électricité, utilisant de la bande passante Internet et offrant à un attaquant un autre système à exploiter.

La cible de l’attaquant n’a pas besoin d’être importante. Parfois, il lui suffit d’une machine connectée à Internet et qui n’a pas reçu les correctifs nécessaires.

Des clés de gestion WordPress volées ont été utilisées pour installer des portes dérobées

Les propriétaires de sites WordPress ont dû faire face à un nouveau problème cette semaine après que TeamUpdraft, la société à l’origine d’outils populaires de sauvegarde et de gestion WordPress, a signalé un accès non autorisé à ses systèmes.

L’incident concernait des identifiants associés à UpdraftCentral, un service permettant aux administrateurs de gérer à distance les sites WordPress connectés.

Selon un article de BleepingComputer, les attaquants ont mis la main sur des clés de connexion et les ont utilisées pour installer des portes dérobées malveillantes sur certains sites web.

Cette situation est particulièrement préoccupante, car un service de gestion à distance est censé faciliter l’administration des sites web et la rendre plus sécurisée. Lorsque le service ou ses identifiants sont compromis, ces mêmes capacités de gestion peuvent offrir aux cybercriminels un moyen d’accéder à plusieurs sites web.

Un propriétaire de site WordPress pourrait disposer d’une version raisonnablement récente du logiciel de son site et se trouver néanmoins en danger si une connexion de gestion autorisée avait été compromise.

Node.js a publié une nouvelle série de mises à jour de sécurité

Le jour même de l’urgence PHP2Shell, le projet Node.js a publié de nouvelles versions de sécurité corrigeant des vulnérabilités dans les versions prises en charge de son moteur d’exécution JavaScript largement utilisé.

Les problèmes identifiés concernaient notamment la gestion des certificats TLS, la validation des entrées DNS et les contrôles des autorisations d’application, certains d’entre eux étant classés comme présentant un niveau de gravité élevé.

Node.js exécute des applications et des services en ligne sur Internet ; maintenir ces systèmes à jour constitue donc une responsabilité supplémentaire pour les administrateurs, déjà confrontés à un flux incessant d’alertes de sécurité.

Il s’agit de problèmes distincts, et non de la preuve d’une attaque coordonnée. Mais prises ensemble, elles montrent combien de composants différents d’Internet peuvent nécessiter simultanément une attention urgente en matière de sécurité.

Nous mettons en garde depuis longtemps contre les attaques par IA visant les banques, l’électricité, l’eau et les communications

Tous ceux qui suivent OFFGRID Survival savent que ce n’est pas la première fois que nous tirons la sonnette d’alarme sur ce que l’IA pourrait faire aux infrastructures dont dépendent les Américains.

En avril dernier, nous avions déjà mis en garde contre les cyberoutils basés sur l’IA et la possibilité d’attaques dévastatrices contre le secteur bancaire, les infrastructures critiques et les communications.

Au début du mois, nous avons relayé les avertissements d’initiés du secteur de l’IA qui s’attendaient à des attaques contre des institutions financières, des réseaux électriques ou des infrastructures hydrauliques au cours des douze prochains mois.

Nous avons également examiné des rapports faisant état d’agents IA opérant au-delà des limites prévues, ainsi que les craintes selon lesquelles des systèmes de plus en plus autonomes pourraient créer de nouvelles formes de cyberrisques.

Ces rapports antérieurs soulevaient différentes préoccupations, et certains reposaient davantage sur des allégations ou des prévisions que sur des attaques à grande échelle confirmées. Mais le message d’alerte central est resté le même.

Nous confions une part croissante de nos infrastructures essentielles à des systèmes numériques interconnectés, alors même que nous développons des outils de plus en plus puissants capables d’exploiter les failles de ces systèmes.

Et nous le faisons sans disposer d’un plan de secours fiable pour une grande partie de la population.

Pensez à quel point votre vie quotidienne dépend de réseaux et d’ordinateurs qui ne vous appartiennent pas, que vous ne contrôlez pas et que vous ne sauriez probablement pas réparer même si votre vie en dépendait.

Votre compte bancaire n’existe que sous forme d’enregistrements dans un système informatique. Vos cartes de débit et de crédit dépendent des réseaux financiers et des prestataires de paiement. Les pharmacies utilisent des systèmes de prescription électroniques. Les hôpitaux dépendent de dossiers en réseau, de la gestion des rendez-vous, des services de laboratoire et des équipements. Les supermarchés s’appuient sur la gestion numérique des stocks, les réseaux de distribution réfrigérés, les paiements électroniques et les logiciels de logistique.

Les services d’électricité utilisent des systèmes de contrôle informatisés pour surveiller certaines parties du réseau. Les distributeurs d’eau utilisent des systèmes numériques pour le traitement, la surveillance et la distribution. Les services d’urgence dépendent de réseaux radio, de systèmes de régulation et d’autres infrastructures de communication.

Tous ces systèmes ne sont pas exposés à l’Internet public, et une vulnérabilité dans PHP ne signifie pas automatiquement que quelqu’un puisse mettre hors service une centrale électrique ou prendre le contrôle d’une station de traitement des eaux.

Mais il existe des connexions, des dépendances, des services d’accès à distance, des fournisseurs et des systèmes administratifs qui peuvent offrir des opportunités d’attaques ou provoquer des perturbations en cas de défaillance.

Une attaque n’a pas besoin de compromettre directement un réseau électrique pour provoquer une situation d’urgence grave. La mise hors service d’un fournisseur de services essentiels, la perturbation des systèmes administratifs d’un service public ou la paralysie des communications nécessaires à la coordination d’une intervention peuvent créer des problèmes à part entière.

Plus ces systèmes sont interconnectés, plus il y a de risques qu’une seule défaillance affecte des services qui, à première vue, semblent sans rapport.

Et les personnes chargées d’assurer le bon fonctionnement de l’ensemble sont désormais contraintes de se défendre contre des outils dont les capacités progressent à un rythme effrayant.

Nous construisons une société qui ne peut survivre sans une technologie que nous ne pouvons pas entièrement protéger

Ce qui m’inquiète le plus, ce n’est pas simplement que les pirates disposent d’outils de plus en plus performants. C’est que nous avons passé des décennies à rendre presque tous les aspects de notre vie dépendants de systèmes que nous ne contrôlons pas et que nous ne pouvons pas protéger entièrement. Les banques ont fermé leurs agences et poussé leurs clients vers les services bancaires en ligne, les entreprises ont migré leurs activités vers le cloud, les magasins dépendent de plus en plus des paiements électroniques, et les hôpitaux, les pharmacies et les administrations publiques s’appuient désormais sur des réseaux interconnectés pour assurer leurs services essentiels. Nous avons systématiquement éliminé bon nombre d’alternatives, au nom de l’efficacité et de la commodité.

Le problème, c’est que l’efficacité n’est pas synonyme de sécurité, et que la commodité ne signifie absolument rien lorsque les systèmes dont vous dépendez cessent de fonctionner. Une pharmacie qui ne peut plus accéder à sa base de données de prescriptions risque d’avoir du mal à délivrer les médicaments. Une entreprise qui repose entièrement sur des services cloud peut se retrouver dans l’incapacité de fonctionner lorsque son fournisseur subit une panne. Les familles qui conservent tout en ligne, des relevés financiers aux documents importants, pourraient soudainement se retrouver privées d’accès à des informations dont elles ont désespérément besoin.

Et au lieu de remédier à ces vulnérabilités, nous multiplions encore davantage les technologies. L’intelligence artificielle est en train d’être intégrée dans le secteur bancaire, les soins de santé, les services publics, les systèmes industriels et pratiquement tous les autres secteurs. Les entreprises qui commercialisent cette technologie promettent des opérations plus rapides, des coûts réduits et une productivité accrue, mais on parle beaucoup moins de ce qui se passe lorsqu’une défaillance catastrophique survient.

Nous en avons déjà eu un avant-goût lors de la panne de CrowdStrike en 2024, lorsqu’une mise à jour logicielle défectueuse a provoqué des perturbations généralisées au sein des compagnies aériennes, des hôpitaux, des entreprises et d’autres organisations à travers le monde. Il ne s’agissait même pas d’une cyberattaque. C’était une erreur logicielle qui a démontré comment une seule défaillance au sein d’une entreprise pouvait paralyser les opérations dans de nombreux secteurs.

Imaginez maintenant une attaque délibérée menée par des criminels utilisant l’IA pour identifier et exploiter les vulnérabilités de milliers de systèmes avant que quiconque n’ait le temps de réagir. Il n’est pas nécessaire que tous les ordinateurs des États-Unis tombent en panne simultanément pour que cela devienne une urgence nationale. La compromission d’un réseau financier, d’un fournisseur de cloud, d’une entreprise de télécommunications ou d’un service d’infrastructure stratégique pourrait créer d’énormes problèmes pour tous ceux qui en dépendent.

La prochaine cyberattaque majeure pourrait bien survenir sans aucun avertissement

C’est ce qui rend la catastrophe PHP2Shell de cette semaine si préoccupante. Des chercheurs en sécurité légitimes ont découvert ces vulnérabilités et ont tenté de coordonner leur correction avant que des cybercriminels ne puissent les exploiter. Malgré cette longueur d’avance, des informations ont fuité avant la publication des correctifs ; les gouvernements ont mis des sites web hors ligne, et les attaquants ont commencé à sonder les systèmes vulnérables tandis que les administrateurs s’efforçaient de protéger leurs réseaux.

Imaginez maintenant ce qui se passera lorsque la prochaine faille majeure sera découverte par des cybercriminels qui n’ont absolument aucune intention de la signaler. Des outils basés sur l’IA pourraient permettre aux attaquants d’identifier les faiblesses, de développer des exploits et de rechercher des milliers de systèmes vulnérables avant même que les entreprises chargées de leur maintenance ne se rendent compte qu’il y a un problème. Et contrairement aux chercheurs légitimes, ces criminels ne vont pas prévenir qui que ce soit à l’avance ni attendre un correctif de sécurité.

Tout cela ne nécessite pas un scénario de science-fiction où l’IA prendrait conscience d’elle-même et déciderait de détruire l’humanité. Il suffit simplement de mettre des outils de plus en plus puissants entre les mains de personnes qui cherchent déjà à voler de l’argent, à saboter des infrastructures et à paralyser des systèmes. Même les entreprises qui développent ces modèles d’IA reconnaissent que cette technologie peut accélérer les cyberopérations offensives, et rien ne garantit que les chercheurs en sécurité légitimes découvriront toujours les vulnérabilités les plus dangereuses en premier.

Nous mettons en garde contre cela depuis des mois, et l’actualité d’aujourd’hui devrait amener les gens à s’interroger sérieusement sur la confiance qu’ils accordent à la technologie qui régit leur vie. Tôt ou tard, quelqu’un finira par découvrir la bonne vulnérabilité dans le mauvais système, et il se peut qu’il n’y ait ni correctif, ni avertissement, ni possibilité de se préparer avant que les dégâts ne commencent. Au moment où le public se rendra compte de ce qui se passe, les services essentiels pourraient déjà être hors ligne.

Lorsque l’Internet tombe en panne, votre plan de préparation a intérêt à fonctionner sans lui

C’est exactement pour cette raison que nous avons toujours soutenu que la préparation ne se limite pas à constituer des réserves alimentaires ou à se préparer aux catastrophes naturelles. Si toute votre vie dépend des services bancaires en ligne, des paiements électroniques, des communications mobiles, du stockage dans le cloud et d’entreprises qui peuvent se trouver à des milliers de miles de là, vous êtes vulnérable à des perturbations sur lesquelles vous n’avez absolument aucun contrôle.

Vous n’avez pas besoin de renoncer à la technologie moderne ni de vivre complètement hors réseau, mais vous avez tout intérêt à disposer d’alternatives qui ne dépendent pas des mêmes systèmes que ceux dont vous vous préparez à vous passer. Cela signifie disposer d’argent liquide, conserver des copies hors ligne de vos documents importants, disposer d’une alimentation électrique et de moyens de communication de secours, et vous assurer que votre famille puisse fonctionner normalement lorsque Internet, les réseaux bancaires ou d’autres services essentiels ne sont plus disponibles.

Car lorsqu’une cyberattaque majeure finira par mettre hors service un élément dont nous dépendons tous, il sera déjà trop tard pour trouver comment survivre sans lui.

Conservez de l’argent liquide et des documents financiers accessibles hors ligne

Une panne prolongée des réseaux de paiement pourrait empêcher les gens d’utiliser leurs cartes de crédit, leurs cartes de débit ou leurs services bancaires en ligne. Conserver une somme raisonnable d’argent liquide chez vous vous offre une alternative lorsque les transactions électroniques ne sont plus possibles, à condition que les commerces puissent encore fonctionner et accepter ce moyen de paiement.

Conservez des copies imprimées des informations essentielles relatives à vos comptes, de vos polices d’assurance, de vos titres de propriété et de vos contacts d’urgence. Vous devriez également prévoir un plan pour accéder à votre argent si votre établissement financier principal est temporairement indisponible.

Notre guide de survie en cas de perte d’emploi souligne l’importance de se constituer des réserves financières avant qu’une situation d’urgence ne vous prive de vos options.

Constituez une bibliothèque d’informations hors ligne

Si toutes les références médicales, tous les manuels de réparation, tous les contacts d’urgence, toutes les cartes et tous les documents importants dont vous dépendez sont stockés dans le cloud, la perte de l’accès à Internet pourrait signifier la perte de l’accès à ces informations au moment où vous en avez le plus besoin.

Enregistrez les fichiers importants localement, conservez des copies papier des documents essentiels et gardez à portée de main des ouvrages de référence pratiques qui fonctionnent sans électricité ni abonnement.

Notre guide sur la constitution d’une bibliothèque numérique de survie hors ligne est un bon point de départ.

Disposez de moyens de communication ne nécessitant pas Internet

Les téléphones portables sont utiles, mais ils ne constituent pas à eux seuls un plan de communication d’urgence complet.

Apprendre à utiliser la radioamateur et mettre en place des moyens de communication qui ne dépendent pas d’un accès Internet commercial peut faire une énorme différence en cas de coupure régionale ou de situation d’urgence de plus grande ampleur.

Commencez par consulter nos ressources sur la radioamateur pour les communications d’urgence. Les radioamateurs titulaires d’une licence peuvent établir des communications sur des distances appropriées même lorsque les services Internet habituels ne sont pas disponibles, bien que certains systèmes puissent encore dépendre de répéteurs ou d’infrastructures de soutien.

Protégez vos propres appareils et réseaux

Bien que vous ne puissiez pas sécuriser Internet vous-même, vous pouvez réduire le risque que votre équipement ne contribue au problème.

Veillez à ce que vos routeurs, ordinateurs, téléphones, périphériques de stockage en réseau et appareils connectés à Internet soient à jour. Désactivez les accès à distance dont vous n’avez pas besoin, utilisez des mots de passe uniques et activez l’authentification multifactorielle chaque fois que cela est possible.

Si vous gérez des sites web ou des serveurs, assurez-vous que les logiciels sous-jacents sont mis à jour, et pas seulement l’application web visible. Concernant PHP2Shell, les propriétaires de sites web doivent vérifier que l’installation PHP du serveur a bien reçu une mise à jour de sécurité appropriée et évaluer s’il existe des signes d’une compromission antérieure.

Conservez également des sauvegardes hors ligne que les attaquants ne peuvent pas facilement chiffrer ou effacer.

Préparez-vous à des perturbations prolongées des services publics et des services

La nourriture, l’eau, l’électricité et les fournitures médicales de base restent essentielles, que la perturbation soit due à un ouragan, à une cyberattaque ou à une défaillance majeure des infrastructures.

Stockez de l’eau potable, prévoyez un moyen de préparer des repas sans dépendre entièrement du réseau électrique, et conservez à portée de main les médicaments essentiels et les produits ménagers nécessaires, dans les limites de sécurité et de légalité.

Des batteries de secours, des équipements solaires et d’autres systèmes d’alimentation autonomes peuvent aider à maintenir en fonctionnement les équipements critiques. Nous avons présenté des installations solaires hors réseau abordables et des stations d’alimentation portables pour les personnes souhaitant se doter de cette capacité.

Mais surtout, testez vos plans. Un plan d’urgence qui vous oblige à vous connecter à un compte, à rechercher des informations en ligne ou à attendre qu’une entreprise rétablisse le service n’est pas vraiment un plan lorsque ce sont justement ces systèmes qui sont à l’origine de vos difficultés.

La question n’est pas de savoir si un incident majeur va se produire, mais quelle sera l’ampleur des dégâts.

Personne ne sait quand la prochaine cybercatastrophe majeure frappera, quels systèmes seront visés, ni quelle sera l’étendue des dégâts. Mais après avoir observé les événements de cette semaine, il devient de plus en plus difficile d’ignorer la direction que nous prenons. Des failles de sécurité restées indétectées pendant plus d’une décennie ont déclenché une situation d’urgence internationale ; les gouvernements ont mis des sites web hors ligne, et les développeurs se sont empressés de publier des correctifs tandis que les pirates cherchaient déjà des failles pour s’introduire.

Et PHP2Shell n’était qu’une partie du problème. Nous avons également constaté des clés de chiffrement compromises, des identifiants de cloud volés, des serveurs détournés, des portes dérobées dans WordPress et bien d’autres vulnérabilités affectant les logiciels utilisés sur Internet. Parallèlement, les entreprises qui développent les systèmes d’IA les plus puissants au monde admettent ouvertement qu’elles découvrent de graves failles de sécurité à un rythme qui pourrait submerger les personnes chargées de les corriger.

Nous mettons en garde contre ce phénomène depuis des mois, car le véritable danger va bien au-delà d’une simple vulnérabilité PHP ou d’une poignée de sites web piratés. Nous avons bâti toute une société autour de systèmes interconnectés qui n’ont jamais été totalement sécurisés au départ, et nous mettons désormais entre les mains de quiconque est capable d’utiliser l’IA pour trouver ces failles des outils de plus en plus puissants. Certes, des chercheurs légitimes utilisent ces outils pour contribuer à nous protéger, mais les criminels et les gouvernements hostiles ne vont pas rester les bras croisés en attendant que les « gentils » corrigent toutes les failles.

Tôt ou tard, quelqu’un finira par découvrir une faille dans un système d’une importance capitale, qu’il s’agisse d’un grand réseau financier, d’une infrastructure électrique, d’un système de télécommunications ou de l’un des fournisseurs de services cloud dont dépendent des milliers d’entreprises. Et lorsque cela se produira, nous n’aurons peut-être pas plusieurs semaines pour nous préparer, ni même quelques heures d’avertissement. Nous pourrions nous réveiller face à des systèmes bancaires hors service, des réseaux de communication à l’arrêt ou des services essentiels inaccessibles à tous.

Nous n’avons cessé d’alerter sur l’arrivée de ce jour, et chaque nouvelle catastrophe en matière de sécurité rend cet avertissement de plus en plus difficile à ignorer. Nous avons créé un monde qui peut à peine fonctionner sans Internet, tout en développant une technologie qui rend la détection et l’exploitation de ses faiblesses plus faciles que jamais. À un moment donné, notre chance va tourner, et lorsque ce sera le cas, il ne suffira pas de demander à tout le monde de mettre à jour ses logiciels pour réparer les dégâts.