10 ans que cette faille dort dans 70% du web

Une IA vient de la réveiller, et l'État français a éteint ses sites Météo France, les impôts, les préfectures, tout a été coupé en urgence hier Deux trous critiques dans PHP, le langage derrière WordPress, Drupal et des millions de sites Les chercheurs parlent déjà d'un nouveau Heartbleed Les deux failles s'enchaînent La première fait sauter PHP en plein traitement d'un upload qui force sa limite mémoire, et au nettoyage il prend cette mémoire à moitié initialisée pour une mémoire saine La seconde laisse l'état d'une requête survivre à sa mémoire déjà libérée, la requête suivante sur le même worker le relit et récupère au passage mots de passe et clés d'API Tu combines les deux, tu voles les secrets puis tu exécutes tes propres commandes sur la machine Sans compte, sans mot de passe, avant même que le code du site ait tourné, sur un WordPress sorti de la boîte En clair, n'importe qui depuis son canapé pouvait prendre le contrôle du serveur et repartir avec toute la base de données C'est pour ça que l'État a préféré tout débrancher plutôt que de laisser la porte ouverte Ce trou est là depuis la version 5.4, personne l'avait jamais armé, trop coûteux à exploiter Ce qui a changé cette semaine, c'est l'IA Des modèles ont transformé une faille oubliée en arme en quelques jours, Wiz l'a écrit noir sur blanc Je code avec l'IA toute la journée, je crache pas dessus Mais faut arrêter de se raconter qu'elle va sécuriser nos projets L'attaquant n'a besoin que d'un seul trou, toi tu dois tous les boucher Et toi, dev JS qui souris parce que PHP c'est pas ton problème Ton node_modules à mille dépendances, c'est la même bombe, juste plus récente Le code que personne ouvre parce que ça tourne, c'est exactement ce qui va te faire tomber Ta dette technique vient de devenir une arme chargée, et quelqu'un a appris à presser la détente plus vite que toi Arrête de croire que l'IA protège ton code Elle vient de choisir un camp, et c'est pas le tien