L'IA révèle d'anciennes failles logicielles

De graves failles dans le code de logiciels sont de plus en plus mises au jour grâce à l'intelligence artificielle, ce qui submerge les équipes chargées des revues de code. Les outils d'IA sont désormais capables d'identifier des erreurs complexes qui étaient auparavant difficiles à détecter manuellement.

Le projet PHP fait face à un incident de sécurité

Le projet PHP, open source, qui alimente environ 70 % du web mondial, a récemment fait face à un incident de sécurité attribué à ce type de failles. Les vulnérabilités PHP2Shell, présentes dans le code depuis plus de 10 ans, ont été identifiées grâce à des modèles d'IA avancés qui ont automatisé la découverte et l'enchaînement d'erreurs logicielles complexes.

Le manque de ressources entrave la réponse

La PHP Foundation, qui repose sur un seul salarié à temps plein et 14 contributeurs à temps partiel, a reconnu une défaillance structurelle due à un manque de ressources. Les failles PHP2Shell avaient d'abord été signalées par un développeur en 2024, mais n'ont pas été traitées en priorité faute de temps pour les analyser.

Des vulnérabilités liées à la gestion de la mémoire

Ces vulnérabilités sont liées à la gestion de la mémoire en langage C, le langage dans lequel l'interpréteur PHP est écrit. Les erreurs de gestion de la mémoire peuvent permettre à des attaquants d'exécuter du code arbitraire ou de provoquer des plantages de systèmes, ce qui les rend particulièrement dangereuses.

Des mises à jour de sécurité publiées

Le projet PHP a publié des mises à jour de sécurité corrigeant les deux vulnérabilités critiques « PHP2Shell ». Les utilisateurs de plateformes comme WordPress.com, WordPress VIP, Pressable, Tumblr et d'autres infrastructures d'Automattic sont déjà protégés.

Une tendance plus large de crises logicielles

Le cas PHP s'inscrit dans une tendance plus large de crises de la chaîne d'approvisionnement logicielle. Des problèmes similaires ont été observés avec la faille HeartBleed, qui a exposé des clés de chiffrement à l'échelle mondiale, et avec le projet Log4j, maintenu par un petit groupe de bénévoles.

XZ Utils met en lumière les risques de l'open source

L'affaire XZ Utils a également mis en évidence la vulnérabilité des projets open source face à des infiltrations malveillantes, en particulier lorsque les mainteneurs sont isolés et surchargés. Ces incidents soulignent les risques liés à la dépendance envers des projets open source sous-dotés pour des infrastructures critiques.

Des experts appellent à un changement systémique

Des experts et des agences de sécurité comme la CISA et l'ANSSI insistent sur la nécessité de transformations urgentes dans la manière dont les entreprises privées et les gouvernements utilisent les logiciels open source. Le financement des entités comme la PHP Foundation et la participation à des programmes de subventions tels que le Sovereign Tech Fund doivent devenir des investissements de sécurité obligatoires.

Le double rôle de l'IA en matière de sécurité

Cet incident montre que l'IA peut accélérer la découverte de failles cachées, mais sans ressources humaines suffisantes pour les corriger, des cybercriminels pourraient exploiter la même technologie pour mener des attaques. Cela souligne la nécessité d'une approche équilibrée combinant IA et supervision humaine en matière de cybersécurité.

L'Europe s'oriente vers des réglementations plus strictes

Le Cyber Resilience Act (CRA) européen devrait imposer des réglementations plus strictes sur l'utilisation de code open source, en exigeant des audits et une responsabilité juridique tout au long de son cycle de vie. Cette législation vise à garantir que les logiciels open source soient aussi sûrs que leurs équivalents propriétaires.