Mercredi 21 octobre, vers 14 heures, les sites des préfectures de la Drôme et de l’Ardèche ont cessé de répondre. Puis toutes les préfectures, impots.gouv.fr, Météo-France. Aux Pays-Bas, l’agence nationale de cybersécurité s’est elle-même mise hors ligne. En Finlande, en Flandre, au Danemark, en Allemagne, communes, hôpitaux et universités ont suivi, raconte Martin Pavanello, cofondateur et président de Mister IA.
En cause, deux failles critiques baptisées PHP2Shell, logées au cœur de PHP, le langage qui fait tourner environ 70% des sites du monde. Elles permettent de prendre la main sur un serveur sans le moindre mot de passe.
Le réflexe sera d’y voir la preuve que l’IA est devenue l’arme capable de mettre Internet à genoux. C’est l’inverse qui s’est produit.
Quatorze ans d’aveuglement, deux mois d’avance
Le défaut dormait dans le code depuis 2012. À notre connaissance, personne ne l’avait exploité. En août, la société Calif l’a mis au jour avec GPT-5.6 Sol, le modèle d’OpenAI. De son côté, Wiz, filiale de Google, a retrouvé les deux failles avec Gemini 4 Argon et le même modèle d’OpenAI. Fin août, l’équipe de PHP était prévenue. S’ensuivent deux mois de travail discret pour préparer les correctifs. OpenAI parle de « fenêtre du défenseur ».
Le chaos de mercredi n’est pas venu de l’IA. Il est venu de fuites humaines : une capture d’écran de l’outil d’attaque diffusée la veille, un éditeur qui publie ses propres correctifs avant l’heure convenue. Sans ces maladresses, les mises à jour seraient sorties dans le calme.
La médaille a son revers. Wiz le reconnaît sans fard : écrire une attaque pour ce type de bug mémoire, réputé redoutable, n’est plus une barrière à l’ère de l’IA. Ce qui coûtait des mois à une équipe d’élite se compte désormais en jours. Bien malin qui peut dire aujourd’hui de quel côté penchera la balance entre l’attaque et la défense. Mais l’épisode prouve une chose : la machine qui abaisse le coût de l’attaque abaisse aussi celui de la réparation. Un défaut vieux de quatorze ans a été trouvé, démontré et corrigé avant d’être exploité. Pour la sécurité d’Internet, c’est une excellente nouvelle.
Un audit européen à moitié fait
Encore faut-il regarder qui tenait le bouclier. Les modèles étaient américains. La coordination a été pilotée par OpenAI, avec la Maison-Blanche et l’agence fédérale de cybersécurité, la CISA. Cloudflare avait préparé ses protections avant même la divulgation. L’Europe n’a tenu dans ce récit qu’un rôle de figurante.
Le plus rageant est qu’elle avait vu le problème. En 2024, l’agence allemande Sovereign Tech Agency a financé un audit du cœur de PHP, mené par le français Quarkslab. Deux mois de travail, un périmètre réduit faute de budget. L’audit est passé sur ce défaut sans démontrer qu’il était exploitable. Nous avons payé des experts pour regarder la bonne pièce, puis nous avons refermé la porte. Dans le même temps, la fondation qui maintient le langage de 70% du Web a reçu moins de 700 000 dollars de dons sur toute l’année 2024. Ce n’est pas un accident. C’est un choix collectif : ne pas financer ce dont tout le monde dépend.
Débrancher, l’aveu d’impuissance
Couper les préfectures était sans doute la décision la plus raisonnable du moment. Un site éteint une journée coûte moins cher qu’une compromission que l’on traîne pendant un an. Mais qu’elle ait été la seule possible en dit long. On débranche quand on ne sait pas, en quelques heures, inventorier ses
serveurs, vérifier ses versions et appliquer un correctif. On débranche quand on est dépassé. La presse américaine notait d’ailleurs mercredi que la réaction la plus visible s’observait en Europe. Les premiers prévenus et les mieux protégés étaient américains. Les autres ont appuyé sur l’interrupteur. Cette dépendance va se creuser. OpenAI a promis un milliard de dollars d’accès subventionné à ses outils de cyberdéfense pour les réseaux d’eau, d’électricité et les collectivités. Le programme a démarré aux États-Unis. L’Ukraine y a obtenu un accès gratuit en septembre. La France, rien de formel. Il faut donc bâtir une IA de défense européenne. Mais ne nous racontons pas d’histoires : le retard ne se rattrapera pas en un plan quinquennal, car ce n’est pas seulement une affaire de modèles. Il faut aussi des chercheurs capables de les piloter, des réseaux capables de protéger avant la divulgation, des budgets récurrents pour les logiciels libres qui font tourner nos services publics, et une place à la table où se décide le calendrier des correctifs. Sur chacun de ces fronts, nous partons de loin.
Le choix inconfortable des petits
Reste la question que personne ne pose. Que fait la commune de 20 000 habitants, l’office HLM, le cabinet comptable ? Ils n’ont ni ANSSI ni responsable de la sécurité informatique. Ce sont pourtant eux qui hébergent les vieilles versions : selon W3Techs, 27% des sites PHP tournent encore sur la branche 7 et près de 8% sur la branche 5, que plus personne ne corrige.
À eux, je ne conseillerai pas d’attendre l’outil souverain. Je leur conseille d’aller vers ce qui est aujourd’hui le plus sûr, le plus fiable, le moins exposé au piratage et le plus performant. Et quand on applique honnêtement ces critères, le constat est cruel : pour l’instant, les Américains sont loin devant. La souveraineté ne consiste pas à laisser par principe un serveur vulnérable allumé. Elle consiste à protéger d’abord, avec les meilleurs outils disponibles, et à construire en parallèle l’alternative qui nous manque.
L’IA a offert à Internet deux mois d’avance sur ses attaquants. L’Amérique s’en est servie pour préparer ses défenses. L’Europe, elle, a découvert mercredi qu’elle n’avait que l’interrupteur.
