EXPERT INVITÉ. Gemini 4, l’intelligence artificielle (IA) de Google, vient d’aider à découvrir deux failles critiques cachées dans PHP depuis plus de dix ans. Votre site web, votre extranet et les logiciels de vos fournisseurs utilisent probablement PHP.

Commençons par les bases

PHP est un langage de programmation conçu pour fabriquer des sites web. Quand vous consultez une page, il travaille en arrière-plan, sur le serveur: il va chercher l’information, assemble la page en HTML et l’envoie à votre navigateur. On le voit rarement; il est pourtant presque partout. Son histoire a d’ailleurs une saveur canadienne. En 1994, Rasmus Lerdorf, un programmeur d’origine danoise formé à l’Université de Waterloo, bricole quelques outils pour gérer sa page personnelle. Il les baptise Personal Home Page: PHP.  Un outil né pour une page perso fait aujourd’hui tourner une bonne partie du web.

Son succès tient à des raisons très simples. Il est gratuit et libre. Il est facile à apprendre, ce qui en a fait le premier langage de toute une génération de développeurs. Surtout, plusieurs solutions très utilisées reposent sur PHP: WordPress, Drupal, Joomla et bien d’autres ont été bâties avec lui.

Encore des failles informatiques

On commence à s’habituer à ce genre d’annonce, mais l’habitude ne doit pas se transformer en indifférence. Une IA analyse un logiciel que des milliers de développeurs ont relu pendant des années, et elle y trouve des problèmes. Ces découvertes se multiplient depuis deux ans, et la plupart passent inaperçues hors du milieu de la cybersécurité. Malheureusement, ce n’est qu’un début. Chaque nouvelle génération de modèles fouille plus vite et plus loin. Le rythme des découvertes ne ralentira pas: nous allons devoir nous adapter à cette nouvelle réalité.

Les faits. Mercredi, la Fondation PHP a publié en urgence des correctifs pour deux failles critiques. Selon Google, son modèle Gemini a joué un rôle déterminant dans leur découverte, dans la mise au point de l’exploit, dans la détection des attaques et dans la validation du correctif. Les chercheurs de Wiz, qui ont signalé les failles, estiment que toutes les versions de PHP depuis la 5.4 sont touchées. Autrement dit, ces........

© Les Affaires