"La nouveauté, ici, c'est la réaction en chaîne à l'annonce de la vulnérabilité", explique Charles Cuvelliez, professeur à l'École Polytechnique de l'ULB et expert en cybersécurité. "Aujourd'hui, on n'hésite plus à mettre des systèmes à l'arrêt par précaution. C'est tout de même un changement de paradigme assez fort", continue l'expert.

Une faille qui peut permettre de prendre le contrôle

Pour rappel, PHP est un langage de programmation qui alimente près de 70 % du web mondial. Ce langage est notamment utilisé pour faire fonctionner des sites dits web "dynamiques", c'est-à-dire des sites dont les pages peuvent évoluer en fonction des visiteurs ou des données disponibles.

Une faille dans ce système peut donc amener des criminels à en prendre le contrôle et à dérober les données stockées sur le serveur ou encore à lire le contenu de la mémoire à la recherche de mot de passe des sessions précédentes.

Des failles détectées par de l'IA

L'intervention des intelligences artificielles d'OpenAI et de Google et de leurs chercheurs montre toutefois que ce ne sont pas encore des hackers qui ont trouvé les failles en premier. Mais l'annoncer donne automatiquement des idées à ces derniers.

Pour Charles Cuvelliez, on peut aussi voir cela comme un grand nettoyage de toutes les failles restées inconnues depuis 10 ans dans les briques fondamentales d'Internet.

Ce qui change toutefois la donne est désormais la rapidité avec laquelle ses failles pourraient être exploitées. "Aujourd'hui, avec l'intelligence artificielle, il est probable que des criminels peu compétents puissent eux-mêmes développer un exploit (un programme qui permet d'exploiter une faille, NdlR) sans attendre que quelqu'un de très compétent le développe", prévient le spécialiste.

C'est donc désormais cette rapidité qui pousse certaines entreprises à interrompre préventivement leurs services plutôt que de risquer une attaque. "Cette fenêtre d'exposition tolérable a désormais diminué. Aujourd'hui, quand on a une vulnérabilité de ce type, on n'a plus le temps, on ne peut pas prendre le risque d'attendre…", explique Charles Cuvelliez.

Des "correctifs de sécurité" toujours plus rapides

Cette rapidité remet en question une pratique longtemps utilisée par les équipes informatiques. Celle de disposer d'un délai pour analyser une faille et pour installer un "correctif", un code qui permet justement de corriger les bugs ou les failles d'un logiciel.

Auparavant, les entreprises avaient le temps de tester et déployer ces "correctifs", et puis les mettre en place. Désormais, les entreprises vont davantage automatiser ces tâches. Mais précipiter leur déploiement n'est pas non plus sans danger. "Ce n'est pas parce que vous recevez un correctif que vous pouvez le déployer tout de suite. Parce qu'il faut voir si ce correctif ne crée pas d'autres problèmes", explique Charles Cuvelliez.

Un précédent en 2014

Charles Cuvelliez établit également un parallèle avec Heartbleed, une faille majeure révélée en 2014 dans OpenSSL, une bibliothèque logicielle utilisée pour sécuriser les communications sur Internet. "Ça a été la panique sur tous les serveurs. 80 % des serveurs étaient aussi impactés", rappelle-t-il.

L'expert souligne toutefois une différence importante avec la situation actuelle. À l'époque, les entreprises n'avaient pas bloqué les sites. "À ce moment-là, nous n'avions pas peur que ces failles soient exploitées dans les minutes qui suivaient", conclut Charles Cuvelliez.