- il y a 25 minutes
Lundi 2 novembre 2026, retrouvez Nicolas Guillaume (Président, Arkaven) et Damien Gbiorczyk (Responsable Régional Senior des Ventes pour l'Europe du Sud, Illumio) dans SMART TECH, une émission présentée par Delphine Sabattier.
Catégorie
🗞
NewsTranscription
00:08Bonjour à tous, le 21 octobre, la Fondation PHP a corrigé en urgence deux failles critiques dont les révélations ont
00:15viré au chaos.
00:16On peut le dire. Alors PHP est-il le talon d'Achille du web ? Que s'est-il passé
00:21? Comment réagir ? On en parle avec mes invités tout de suite.
00:28Smartech s'arrête aujourd'hui sur une alerte cyber. On parle des failles critiques de PHP dont la divulgation a
00:35viré au cauchemar et provoqué un moment de chaos sur le web.
00:39Pour en parler, nous sommes connectés avec Nicolas Guillaume. Bonjour Nicolas. Président de Arcaven, ex-fondateur de Netalys, un opérateur
00:48de télécom B2B.
00:49Et puis avec moi en plateau, Damien Biorzik, expert en cyber-résilience chez Illumio. Bonjour Damien.
00:57Alors peut-être on va demander à Nicolas de commencer par nous rappeler un peu les faits. Qu'est-ce
01:01qu'il s'est passé Nicolas ? De quelle faille on parle ? Et que permettait-elle surtout ?
01:08PHP, c'est un langage qui est né en 1994, ce qui fait tourner une grande partie du web depuis
01:13de très nombreuses années.
01:15Notamment des applications comme le célèbre blog WordPress que vous connaissez tous. Il y en a des dizaines de millions
01:21installés à travers le monde.
01:22Et bien derrière ces applications, il y a un langage de programmation, PHP.
01:26Et ce langage, il est aujourd'hui géré par une dizaine de personnes dans une fondation. Il est développé, il
01:32est mis à jour en open source. C'est-à-dire que c'est un logiciel libre.
01:35Et en l'occurrence, comme tout logiciel, il y a des failles. Il y en a une qui a été
01:38découverte par l'IA il y a quelques dizaines de mois en arrière.
01:41Elle n'avait pas été divulguée par la fondation PHP dans le cadre des mises à jour du langage.
01:47Et puis, il y avait une programmation de la diffusion de ce correctif, de cette mise à jour.
01:53Et comme vous l'avez très justement dit, elle a tourné au chaos puisqu'elle a été divulguée un petit
01:57peu avant le planning prévu.
01:59Résultat des courses, il a fallu patcher le web en urgence, patcher tous les serveurs applicatifs PHP à travers le
02:05monde en urgence.
02:06Et ça a déclenché un vent de panique mondial puisqu'il y a eu une pré-divulgation quelques heures avant
02:12qui a permis vraisemblablement quelques premières attaques avant la divulgation officielle de l'attaque.
02:19Oui, donc tout a dû être patché en urgence ou fermé en urgence. En fait, on a vu plein de
02:24sites tomber à ce moment-là, Damien.
02:26Oui, tout à fait. Il y a notamment tout un tas de sites étatiques français.
02:29Quand vous vouliez vous connecter sur ce site-là, vous vous retrouviez avec une page « site web en maintenance
02:34».
02:34Pourquoi ? Tout simplement parce que les proportions de l'utilisation de ces failles PHP pouvaient être extrêmement importantes.
02:41Et donc les sites et les institutions françaises ont préféré couper les sites internet du web plutôt que de pouvoir
02:49faire affaire à des potentielles attaques.
02:50Une mesure de précaution.
02:52Exactement.
02:53Alors Nicolas, vous parlez d'une faille, moi je parle de deux. En fait, il y en a même eu
02:56un petit peu après, encore ?
02:59Plus.
02:59Oui, malheureusement.
03:01En fait, on en met une à jour et puis on en met une deuxième et puis on en met
03:05une troisième puisqu'effectivement, une fois qu'on a patché, on va refaire des tests.
03:09En tout cas, les gens sérieux vont refaire des tests de sécurité supplémentaire.
03:13Là, on va retrouver une nouvelle fois des difficultés, voire des failles sur les systèmes.
03:18Et puis, on va encore repatcher, repatcher.
03:20Donc, c'est le métier, Damien le dira sans doute mieux que moi, c'est le métier des gens de
03:24la cyber et des administrateurs systèmes qui font le job au quotidien pour mettre à jour les infrastructures.
03:30Ceci dit, c'est vrai que cette faille, elle était impressionnante parce que pour schématiser, on a l'habitude d
03:36'utiliser des sites web.
03:37On met un fichier sur un petit formulaire, on l'envoie et puis les stocker sur le serveur pour qu
03:42'il soit lu quelque part de façon automatisée ou manuelle par quelqu'un.
03:45Là, en l'occurrence, c'est notamment cette notion d'upload de fichiers qui était visée par cette faille PHP
03:52Touchell.
03:53Et c'est vrai que c'est une faille parmi d'autres, j'ai envie de dire.
03:57Celle-là, elle était impressionnante de par sa divulgation, la façon dont ça s'est passé.
04:01Mais vous l'avez parfaitement souligné là aussi, il y a eu d'autres failles qui sont arrivées en cascade,
04:05sans doute plus mineures.
04:07Mais ça nous fait un rappel à toutes et à tous qu'il faut patcher en permanence et être à
04:11jour en permanence au niveau des systèmes.
04:13C'est ce qui permet d'avoir une bonne politique, une bonne hygiène de sécurité informatique.
04:17Et puis, vous l'avez dit Nicolas, cette faille, la première, était connue depuis longtemps.
04:23Il ne s'est rien passé.
04:25Pourquoi ? Comment est-ce que vous lisez, vous, ce problème de sécurité pour un nombre de sites Internet monumental
04:33?
04:33Monumental, parce qu'en fait, on parle aujourd'hui de 70% à peu près des sites mondiaux.
04:38Plus de 22,6 millions d'instances web touchées.
04:41Donc le chiffre, il est monumental.
04:43C'est comme si vous baladiez dans la rue que vous trouviez une clé qui peut ouvrir 70% des
04:46portes du monde.
04:47C'est d'où l'ampleur et le chaos autour.
04:50Mais comme l'a dit Nicolas, en fait, aujourd'hui, c'est la course au patch.
04:53Quand vous détectez des vulnérabilités, vous devez patcher rapidement.
04:56Quand vous êtes un particulier, vous allez sur votre WordPress, etc., vous pouvez cliquer et patcher, c'est assez rapide.
05:01Quand vous êtes une entreprise, une grande entreprise qui publiait des sites Internet de ce type-là, vous devez passer
05:06dans des process de maintenance.
05:08Vous devez vous assurer que lorsque vous allez patcher votre site web, il n'y a pas de dépendance et
05:13de conséquences derrière.
05:15Donc en fait, les entreprises ne peuvent pas le faire à la seconde.
05:17Et c'est là où, justement, je pense qu'on va en parler après.
05:19Mais l'IA apporte quelque chose et couvre un fossé extrêmement important entre la détection, qui avant prenait des mois
05:26et des mois par des humains,
05:27où maintenant on peut faire ça en quelques secondes, et le cycle de patching d'une entreprise qui ne peut
05:32pas être à la minute.
05:32Il faudrait, mais c'est impossible.
05:34Alors l'IA peut aider à patcher plus vite.
05:36L'IA peut aider.
05:37Damien, soyons positifs.
05:38Non, il faut être positif de toute façon.
05:39Et justement, je voudrais quand même vous faire réagir aussi, Nicolas, sur la question du temps qui s'est écoulé
05:46entre le moment où on a découvert cette faille
05:48et le moment où on a commencé à s'y intéresser vraiment de manière pratique.
05:54Il ne faut pas oublier que les services, l'équivalent de l'ANSI en Allemagne, en fait, a financé un
06:00audit de PHP,
06:01a trouvé et détecté déjà un certain nombre d'incidents de sécurité sur PHP.
06:06Ils ont fait remonter la fondation PHP, tout ça en mode confidentiel.
06:11Et puis, la communauté s'est mise en œuvre pour commencer à réécrire, j'allais dire, en tout cas à
06:18patcher les failles.
06:20Je pense que ce temps, il est à la fois sain, mais comme l'a dit Damien, aujourd'hui, à
06:26l'ère de l'IA, le temps, il va se réduire.
06:28Entre la détection et la réaction, c'est-à-dire le patching en lui-même, la mise à jour.
06:34Et ça, c'est un grand sujet aujourd'hui qui arrive, je pense, dans le monde dans lequel nous vivons.
06:40C'est d'avoir cette capacité de détecter des failles qui, parfois, sont planquées, si vous me permettez l'expression,
06:46dans des logiciels ou des systèmes d'exploitation ouverts depuis un très grand nombre d'années.
06:51Et puis, de l'autre côté, cette capacité de réagir extrêmement vite,
06:55sans casser les productions de services numériques en ligne,
06:58puisqu'il y a des services majeurs qui tournaient sur PHP.
07:01Et donc, effectivement, ça nous appelle à vraiment savoir comment, aujourd'hui,
07:05on va prendre en compte, à l'ère de l'IA, la cybersécurité d'un certain nombre d'applicatifs web.
07:11Si je peux me permettre, aujourd'hui, l'IA, c'est quelque chose que je trouve extrêmement sain
07:14pour, justement, détecter beaucoup plus vite les failles dans un certain nombre de logiciels et d'applications.
07:21Mais ça n'enlève pas, bien sûr, la réactivité humaine et la coordination humaine
07:25pour la mise à jour, justement, on l'a vu à très large échelle des systèmes d'exploitation
07:29et de leurs applicatifs derrière.
07:32Le fait qu'une grande partie des sites Internet utilisent ce langage PHP,
07:36c'est un problème, c'est un talon d'Achille, aujourd'hui, pour le web.
07:39C'est la question qu'on pose dans l'émission.
07:42Et deuxième question, le fait que ce PHP repose sur une fondation
07:47maintenue par des bénévoles,
07:49pose question aussi, aujourd'hui.
07:51C'est un talon d'Achille, la réponse peut être bipolaire, oui et non.
07:55Aujourd'hui, de toute façon, 70% des sites utilisés utilisent PHP.
07:59Si demain, on se dit PHP, c'est un problème, il faut l'arrêter et passer à autre chose,
08:03ça ne va pas se faire en un claquement de doigts et donc ça va prendre du temps.
08:06Donc, par rapport à ça, oui, c'est un talon d'Achille.
08:08Maintenant, ça permet aussi, on parle d'entreprise, mais à des particuliers
08:12de mettre à disposition des petits sites web, extrêmement simplement,
08:15sans aucune connaissance de développement, etc.
08:18Donc, pour ça, ça a tout un tas de bienfaits.
08:21Maintenant, par rapport à ce qu'a dit Nicolas sur l'IA,
08:24effectivement, il y a des enjeux qui peuvent être plus ou moins importants et impactants.
08:30Là, c'est des chercheurs de Whiz qui ont trouvé cette vulnérabilité,
08:33grâce à OpenAI, grâce à Google, etc.
08:35Qu'est-ce qu'ils en seraient si ça avait été des attaquants
08:38qui avaient exploité de la même manière l'IA et trouvé ces failles ?
08:41Et d'ailleurs, qui nous dit que ce n'était pas déjà le cas ?
08:44Donc, par rapport à ça, il faut mettre une nuance.
08:46Je ne veux pas non plus avoir un discours alarmiste,
08:48parce que, comme vous l'avez bien dit aussi,
08:50les entreprises peuvent se servir de l'IA
08:52pour réagir, pour patcher plus vite.
08:54Mais la conclusion, et on le verra après,
08:56c'est ce qu'a encore une fois résumé Nicolas,
08:58le fossé entre le temps de détection
09:00et le temps de patching et de réaction va être important.
09:03Je ne sais pas ce que vous imaginez quand vous dites
09:03« on le verra après » parce que l'émission
09:06va bientôt se terminer.
09:07Vous savez, ça passe très vite ici dans Smart Tech.
09:09Nicolas, une réaction sur le fait que,
09:11derrière PHP, c'est une fondation,
09:13ce sont des bénévoles ?
09:16On a un problème majeur dans le logiciel libre.
09:18C'est le manque de soutien de la communauté.
09:20C'est qu'il y a des gens qui font beaucoup d'argent
09:22avec ces applications et ces systèmes,
09:25qui ne contribuent pas financièrement à ces logiciels.
09:30Et ça, c'est dommage.
09:31On peut le regretter, on peut le déplorer.
09:32Donc, moi, j'appelle effectivement peut-être
09:34le législateur français à modifier légèrement la loi.
09:37Et on pourrait profiter de Nice 2 ou d'autres, d'ailleurs,
09:40pour essayer de trouver une sorte de co-de-part
09:43qui permettrait de co-financer par des dons ou autre.
09:48C'est ce genre de fondation.
09:50Je pense que ce serait une bonne chose,
09:52d'autant plus que PHP est européen.
09:53C'est bon pour la souveraineté,
09:54on va quand même le dire aussi à l'origine.
09:57Et puis, effectivement, je crois que 10 personnes
09:59qui maintiennent en vie l'un des systèmes les plus critiques,
10:03parmi d'autres, bien sûr,
10:04mais du web aujourd'hui,
10:05c'est quand même une notion de réaction pour nous tous.
10:09Et je pense qu'il faut les soutenir,
10:11d'autant plus, si vous le permettez en deux secondes,
10:12qu'il y a eu un appel de la communauté aujourd'hui
10:15des organisateurs d'événements tech en France
10:18qui manquent de soutien,
10:19qui manquent de soutien financier,
10:21qui n'arrivent plus à se réunir,
10:22justement pour débattre de tous ces sujets
10:25d'évolution des systèmes, de la cyber et autres.
10:28Je pense notamment à des événements organisés par l'AFUP,
10:31qui est l'association française des utilisateurs de PHP.
10:33Mais il y en a d'autres qui ont des problèmes de financement,
10:36qui n'arrivent plus à organiser et à se réunir.
10:38C'est un problème majeur.
10:39Et je pense que nos gouvernants,
10:41à travers par exemple l'ANSI, la DINUM,
10:43pourraient peut-être aider à contribuer à faire des choses
10:46et à mieux organiser ce genre de choses en France.
10:48Allez, on passe pour terminer au conseil.
10:51Quel conseil donne un expert cyber aujourd'hui ?
10:54Justement, c'est là où je voulais en venir sur cet aspect de conclusion.
10:58Comme le fossé va se creuser entre le temps de détection
11:01et le temps de réaction,
11:02aujourd'hui, il faut partir du principe
11:04que patcher à toute vitesse,
11:06de toute façon, vous ne pourrez pas toujours le faire.
11:08Donc, il faut plutôt penser à un aspect de résilience
11:10et anticiper quelles peuvent être les conséquences.
11:13Si mon site web, demain, est attaqué,
11:16on prend le contrôle sur ce site web.
11:18Regardez quelles peuvent être les dépendances de ce site web
11:20par rapport au reste de mon SI interne ?
11:22Est-ce que j'ai peut-être des bases de données
11:24extrêmement critiques en interne ?
11:26Et être capable de bloquer les mouvements latéraux
11:29pour que si ce site web est compromis,
11:31je l'accepte, j'en prends part,
11:34mais par contre, je ne veux pas que le reste de mon SI
11:36soit complètement planté en production
11:38et que des données soient exfiltrées ailleurs que ce site web-là.
11:41C'est vraiment ce parti-prix qu'il faut prendre
11:42et se dire, oui, je dois patcher le plus vite possible,
11:45mais je ne peux pas le faire à la minute.
11:47Les attaquants, grâce à l'IA, vont plus vite.
11:48Donc, je dois connaître ma surface d'exposition
11:50et être en mesure d'avoir mis des politiques en place
11:53qui bloquent ces mouvements latéraux
11:55pour éviter une grosse catastrophe sur l'intégralité de la prod.
11:57Nicolas, quelque chose à ajouter
11:59et peut-être un commentaire sur la décision
12:01qui a été prise de couper les sites Internet.
12:03C'était ce qu'il fallait faire comme ça dans l'urgence, j'imagine.
12:07Ça paraît toujours très impressionnant,
12:08mais moi, j'ai toujours pour habitude de dire
12:10que c'est la vie des réseaux et des systèmes.
12:12Donc, c'est tout à fait normal
12:14de prendre des mesures qui sont parfois fortes
12:16et parfois impressionnantes,
12:17mais c'est la bonne réaction d'avoir coupé les accès
12:21et le temps de patcher, de tester ensuite
12:23et de remettre en production des systèmes
12:25que je vais considérer comme propres.
12:27C'est une bonne chose de le faire.
12:29Encore une fois, on n'aime pas trop,
12:31en tant qu'utilisateur final,
12:32quand nos banques, par exemple,
12:33coupent les systèmes des fois un soir ou le week-end
12:35et puis remettent en service
12:37parce que nous, on a envie de se connecter
12:38à nos comptes bancaires, etc.
12:39C'est un exemple parmi d'autres.
12:40Mais là, vraiment, c'était la bonne décision
12:42pour éviter des attaques majeures
12:44et on l'a vu quelques minutes et quelques heures après.
12:46Il y a eu des attaques qui tentaient d'exploiter cette faille.
12:49Donc, c'est une bonne chose d'avoir utilisé cette approche, je pense.
12:52Merci beaucoup, Nicolas Guillaume,
12:53d'avoir été avec nous à distance,
12:55mais très présent.
12:56Vous êtes le président, je le rappelle,
12:58de Arcaven.
12:58Arcaven et Damien Biorzik,
13:00merci également pour votre participation
13:02et vos éclairages sur ce sujet.
13:05Je rappelle que vous êtes experts en cyber-résilience
13:07chez Illumio.
13:08Merci à tous de nous avoir suivis.
13:10C'était Smartech.
13:11On se retrouve dès demain sur la chaîne Bsmart.