La fondation PHP, un seul salarié, face à la chasse aux bugs à la vitesse de l'IA quand OpenAI relève ses primes

Des mises à jour d'urgence, et un nom

Une équipe qui utilisait les modèles d'IA d'OpenAI a trouvé deux failles critiques dans PHP. Des versions corrigées ont suivi peu après l'alerte. Selon Cloudflare, l'impact touche les serveurs web qui font tourner PHP 5.4 et les versions suivantes.

Quiconque exploite un site porte désormais seul la décision de corriger. Les correctifs existent, mais aucune autorité n'impose l'installation. Les régulateurs et les acheteurs disposent d'un cas concret pour mesurer ce que coûte l'entretien d'un code partagé. Un langage utilisé par environ 69% des sites dont le langage côté serveur est connu est maintenu par un salarié et une quinzaine de prestataires à temps partiel. C'est cette comparaison qu'il faut retenir. Ce que personne n'a publié, c'est le nombre d'installations encore non corrigées.

Un communiqué daté du 3 novembre indiquait que des gouvernements avaient averti les administrateurs de procéder à des mises à jour d'urgence. Il regroupait les failles sous le nom PHP2Shell. Le communiqué a été diffusé via TrillionDollarClub, une plateforme de communication du Dynamic Brand Portfolio chez IBN. Un nom circule plus vite qu'un correctif. L'étiquette est arrivée avec le communiqué, après les correctifs.

Dans certains cas, des sites gouvernementaux ont été contraints de suspendre leur activité. Des retards dans l'application des mises à jour étaient encore signalés après la livraison des correctifs. La décision de les appliquer revient à chaque propriétaire de site.

Des millions de tentatives en une journée

Matthew Prince, directeur général de Cloudflare, a écrit sur X que des millions de tentatives d'attaque avaient été observées dans les 24 heures suivant la divulgation, et des milliers avant. La division cyber du FBI a averti sur X que les failles pouvaient permettre une exécution de code à distance dans le cœur de PHP, exposant des données sensibles et des réseaux.

Les hébergeurs ont avancé à des rythmes différents. Cloudflare a ajouté des règles de pare-feu applicatif pour détecter et bloquer les attaques. GoDaddy a mis à jour son hébergement géré et son hébergement Windows, si bien que ces clients n'ont rien d'autre à faire. Les sites autogérés et les opérateurs de VPS ont été invités à se mettre à jour eux-mêmes. Cloudflare a aussi lancé un concours de capture du drapeau sur HackerOne. Les chercheurs sont invités à percer un environnement PHP volontairement vulnérable derrière son propre pare-feu, avec des prix de 100 à 10 000 dollars.

Des milliers de tentatives avant la divulgation. Des millions dans la journée qui a suivi.

La fondation à un seul salarié

Elizabeth Barron, directrice exécutive de la PHP Foundation, dit être la seule salariée à temps plein de l'organisation. Elle travaille avec une quinzaine de prestataires à temps partiel et des membres du conseil non rémunérés.

W3Techs estime que PHP est utilisé par environ 69% des sites dont le langage côté serveur est connu. La demande de corrections de code a doublé, selon Barron, mais « le nombre de collaborateurs n'a pas doublé ». Elle ajoute que « le financement pour soutenir PHP manque gravement ». Selon elle, les entreprises et les gouvernements qui dépendent du langage n'ont pas changé leurs structures, alors même que la file d'attente devant son équipe s'allongeait.

Un salarié. Une quinzaine de prestataires. Environ sept sites sur dix.

Les tentatives d'attaque ont fortement augmenté après la divulgation, et la capacité de la fondation n'a pas augmenté avec elles.

Pourquoi l'IA change le calcul

Le communiqué PHP2Shell soutient que l'IA peut trouver et exploiter des faiblesses logicielles à une vitesse que les défenseurs humains ont du mal à suivre. Parce que PHP est disponible gratuitement et largement déployé, un seul ensemble de failles se propage à des millions de sites, de petites entreprises et de services publics qui n'ont pas d'équipe de sécurité dédiée.

Les montants des primes d'OpenAI disent la même chose depuis l'autre côté. L'entreprise paie désormais jusqu'à 30 000 dollars pour une vulnérabilité critique dans des produits cœur comme ChatGPT ou Codex. Des découvertes exceptionnelles peuvent atteindre 100 000 dollars, et les bonus de qualité, de fidélité et de campagne portent le total à environ 172 000 dollars. Elle a quadruplé ses versements, introduit un programme de fidélité à cinq niveaux et versera la différence de façon rétroactive à toute personne ayant signalé une faille dans les 30 jours précédents. OpenAI se place ainsi dans la même catégorie que le programme général de récompenses de vulnérabilités de Google, tout en restant sous les primes de haut niveau qu'Apple ou Microsoft offrent pour des exploits au niveau du système d'exploitation. Un sprint de sécurité avec le cabinet Cathedral suit ; lors du précédent, 25% des ingénieurs produit d'OpenAI ont travaillé à trouver des vulnérabilités, selon l'entreprise.

Mettez les deux budgets côte à côte. Une faille critique chez OpenAI peut valoir environ 172 000 dollars. Le premier prix du capture du drapeau PHP de Cloudflare est de 10 000 dollars.

La suite

Une enquête menée par Network Solutions auprès de 121 propriétaires de petites entreprises américaines ayant leur propre site a montré que 45% n'avaient jamais entendu parler de PHP.

Les correctifs attendent donc dans une file que personne ne pilote. La correction reste une décision site par site, sans application centralisée. Les remèdes proposés sont connus : mises à jour plus rapides, plus d'argent pour les mainteneurs, meilleure divulgation. Aucun ne s'accompagne d'un mécanisme de contrainte. L'écart entre ce que l'IA peut trouver et ce qu'une fondation à un seul salarié peut corriger est devenu la condition d'exercice d'une grande partie du web.

Barron demande de l'argent, pas un nouveau régulateur. La question ouverte est de savoir si les financeurs écouteront, et l'enquête citée plus haut suggère que beaucoup de propriétaires de sites ne le remarqueraient pas non plus.