Ce qui s’est passé avec PHP nous met en garde : nous avons un sérieux problème avec l’ancien logiciel qui alimente Internet

L’infrastructure qui prend en charge Internet vieillit. Il est naturel que ce soit le cas, mais ce que nous n’aurions pas pu prévoir il y a seulement trois ans, c’est que l’arrivée des modèles d’intelligence artificielle (IA) de pointe allait accélérer considérablement leur vieillissement. Nous avons un problème. Ce qui s’est passé avec le langage de programmation PHP montre que la sécurité d’Internet nous oblige à maintenir et à revoir des technologies qui fonctionnent depuis des décennies et qui sont peut-être aujourd’hui plus vulnérables que jamais.

L’IA nous aide à découvrir des vulnérabilités qui sont passées inaperçues pendant des années, mais les identifier ne suffit pas ; Il est également essentiel de les corriger, et le faire dans une infrastructure aussi vaste et hétérogène qu’Internet n’est pas facile. Ce qui vient de se passer avec PHP peut nous aider à comprendre précisément à quoi nous avons affaire. Ce langage a été conçu pour développer des applications Web, et il est important car il joue un rôle central dans l’écosystème d’applications et de services qui l’utilisent dans le cadre de leur infrastructure.

Ce n’est pas parce qu’un système fonctionne correctement pendant de nombreuses années qu’il est exempt de défauts et sûr. Les programmeurs qui écrivent leur code sont souvent obligés de préserver la compatibilité avec les applications, les bibliothèques, ainsi que les extensions qui dépendent de leur comportement. La correction d’un bug dans un composant du code nécessite souvent de modifier d’autres parties du code, ce qui peut déclencher des erreurs dans les applications à exécution longue. C’est un scénario compliqué, c’est vrai, mais nous disposons désormais d’un outil essentiel pour résoudre ce problème : l’IA.

La maintenance des anciens logiciels est un problème structurel

L’une des vulnérabilités PHP à l’origine de cette crise n’est pas nouvelle. La fondation qui supporte ce langage de programmation, connue sous le nom de PHP Foundation, l’a identifié en 2024 lors d’une de ses revues de sécurité, mais à cette époque les ingénieurs qui l’ont trouvé n’ont trouvé aucun moyen d’exploitation connu. De plus, il était difficile de le corriger, ce qui a contribué au retard dans la solution. Nous savons désormais que ne pas accorder à un problème comme celui-ci l’importance qu’il mérite est une erreur, surtout s’il touche une composante essentielle d’Internet.

La maintenance des anciens logiciels est un problème structurel qui n’affecte pas seulement Internet ; Les entreprises de toutes sortes y sont également confrontées. La plus grande difficulté posée par ce scénario est que, fréquemment, pour mettre à jour une technologie, il ne suffit pas d’installer une nouvelle version ; Dans de nombreuses organisations, les applications dépendent de versions particulières d’un langage, de bibliothèques qui ne sont plus maintenues ou de systèmes d’exploitation qui ne peuvent être remplacés sans changements majeurs.

Cette complexité a amené l’infrastructure numérique dont nous disposons actuellement à travailler sur des composants obsolètes, et la crise PHP a mis sur la table la nécessité de les remplacer. L’IA joue un rôle fondamental dans l’identification des vulnérabilités, mais elle constitue également une ressource très précieuse qui peut être utilisée pour les corriger. En fait, Google Cloud a décrit comment ses ingénieurs ont utilisé des modèles d’IA pour localiser et valider les bogues PHP, développer des tests d’exploitation et vérifier les correctifs.

La plus grande force de l’IA dans ce contexte est qu’elle nous permet d’examiner de grandes quantités de code et de détecter des modèles difficiles à identifier par les examens conventionnels. De plus, cela peut aider les ingénieurs à détecter les failles avant qu’elles ne soient exploitées, même si la capacité de trouver les vulnérabilités ne garantit pas qu’elles puissent être corrigées immédiatement. Quoi qu’il en soit, le rôle de l’homme dans ce scénario reste très important, car l’examen et la correction des vulnérabilités continuent de nécessiter des ressources humaines, même si notre capacité de réponse peut devenir un goulot d’étranglement.

Images | Sergueï Starostine

À Simseo | À quelle fréquence devons-nous changer TOUS nos mots de passe selon trois experts en cybersécurité