- il y a 15 minutes
Lundi 2 novembre 2026, retrouvez Nicolas Guillaume (Président, Arkaven) et Damien Gbiorczyk (Responsable Régional Senior des Ventes pour l'Europe du Sud, Illumio) dans SMART TECH, une émission présentée par Delphine Sabattier.
Catégorie
🗞
NewsTranscription
00:04Smartech s'arrête aujourd'hui sur une alerte cyber, on parle des failles critiques de PHP dont la
00:09divulgation a viré au cauchemar et provoqué un moment de chaos sur le web. Pour en parler nous
00:16sommes connectés avec Nicolas Guillaume, bonjour Nicolas, président de Arcaven, ex fondateur de
00:22Netalys, un opérateur de télécom B2B et puis avec moi en plateau Damien Biorzik, expert en
00:28cyber résilience chez Illumio. Bonjour Damien, alors peut-être on va demander à Nicolas de commencer
00:35par nous rappeler un peu les faits, qu'est-ce qu'il s'est passé Nicolas, de quelle faille on
00:40parle et
00:41que permettait-elle surtout ? PHP c'est un langage qui est né en 1994, ce qui fait tourner une
00:48grande
00:48partie du web depuis de très nombreuses années, notamment des applications comme le célèbre
00:53blog WordPress que vous connaissez tous, il y en a des dizaines de millions installés à travers le
00:57monde. Et bien derrière ces applications il y a un langage de programmation PHP et ce langage il
01:03est aujourd'hui géré par une dizaine de personnes dans une fondation, il est développé, il est mis à
01:08jour en open source, c'est-à-dire c'est un logiciel libre et en l'occurrence comme tout logiciel
01:12il y a
01:12des failles, il y en a eu une qui a été découverte par l'IA il y a quelques dizaines
01:16de mois en arrière,
01:17elle n'avait pas été divulguée par la fondation PHP dans le cadre des mises à jour du langage et
01:23puis
01:23eh bien il y avait une programmation de la diffusion de ce correctif, de cette mise à jour et comme
01:29vous l'avez très justement dit elle a tourné au chaos puisqu'elle a été divulguée un petit peu avant
01:34le
01:34planning prévu. Résultat des courses il a fallu patcher le web en urgence, patcher tous les serveurs
01:39applicatifs PHP à travers le monde en urgence et ça a déclenché un vent de panique mondial
01:44puisqu'il y a eu une pré-divulgation quelques heures avant qui a permis vraisemblablement quelques premières
01:50attaques avant la divulgation officielle de l'attaque. Oui donc tout a dû être patché en
01:57urgence ou fermé en urgence en fait on a vu plein de sites tombés à ce moment-là Damien. Oui
02:02tout à
02:02fait il y a notamment tout un tas de sites étatiques français quand vous vouliez vous connecter sur ce
02:06site-là vous vous retrouviez avec une page site web en maintenance. Pourquoi ? Tout simplement parce
02:11que les proportions de l'utilisation de ces failles PHP pouvaient être extrêmement importantes et donc les
02:17sites et donc les institutions françaises ont préféré couper les sites internet du web plutôt que de
02:24pouvoir faire affaire à des potentielles attaques. Une mesure de précaution. Exactement. Alors Nicolas vous
02:29parlez d'une faille moi je parle de deux en fait il y en a même eu un petit peu
02:33après encore. Plus ? Oui malheureusement. En fait on en
02:38met une à jour et puis on emmène deuxième et puis on emmène troisième puisque effectivement une fois qu'on
02:42a
02:42patché on va refaire des tests. En tout cas les gens sérieux vont refaire des tests de sécurité
02:48supplémentaires. Là on va retrouver une nouvelle fois des difficultés voire des failles sur les
02:53systèmes et puis on va encore patcher et patcher. Donc c'est le métier, enfin Damien le dira sans doute
02:58mieux que moi, c'est le métier des gens de la cyber et des administrateurs systèmes qui font le
03:03job au quotidien pour mettre à jour les infrastructures. Ceci dit c'est vrai que cette faille elle était
03:07impressionnante parce que pour schématiser on a l'habitude d'utiliser des sites web, on met un
03:13fichier sur un petit formulaire, on l'envoie et puis les stocker sur le serveur pour qu'ils soient
03:17lus quelque part de façon automatisée ou manuelle par quelqu'un. Là en l'occurrence c'est notamment
03:22cette notion d'upload de fichiers qui était visée par cette faille php2shell et c'est vrai que c'est
03:30une faille parmi d'autres j'ai envie de dire. Celle-là elle était impressionnante de par sa divulgation,
03:35la façon dont ça s'est passé, mais vous l'avez parfaitement souligné là aussi, il y a eu d
03:39'autres
03:40failles qui sont arrivées en cascade, sans doute plus mineures, mais ça nous fait un rappel à toutes
03:44et à tous qu'il faut patcher en permanence et être à jour en permanence au niveau des systèmes,
03:48c'est ce qui permet d'avoir une bonne politique, une bonne hygiène de sécurité informatique.
03:52Et puis vous l'avez dit Nicolas, en fait cette faille, la première, était connue depuis longtemps,
03:58il ne s'est rien passé, pourquoi ? Comment est-ce que vous lisez, vous, ce problème de sécurité
04:05pour un nombre de sites internet monumental ?
04:09Monumental, parce qu'en fait on parle aujourd'hui de 70% à peu près des sites mondiaux,
04:13plus de 22,6 millions d'instances web touchées, donc le chiffre il est monumental.
04:18C'est comme si vous baladiez dans la rue que vous trouviez une clé qui peut ouvrir 70% des
04:22portes du monde.
04:22C'est d'où l'ampleur et le chaos autour. Mais comme l'a dit Nicolas, en fait aujourd'hui
04:27c'est la course
04:27au patch. Quand vous détectez des vulnérabilités, vous devez patcher rapidement.
04:32Quand vous êtes un particulier, vous allez sur votre WordPress, etc., vous pouvez cliquer et patcher,
04:36c'est assez rapide. Quand vous êtes une entreprise, une grande entreprise qui publiait des sites internet
04:40de ce type-là, vous devez passer dans des process de maintenance, vous devez vous assurer
04:45que lorsque vous allez patcher votre site web, il n'y a pas de dépendance et de conséquences derrière.
04:50Donc en fait les entreprises ne peuvent pas le faire à la seconde. Et c'est là où justement,
04:53je pense qu'on va en parler après, mais l'IA apporte quelque chose et couvre un fossé extrêmement
04:58important entre la détection, qui avant prenait des mois et des mois par des humains, où maintenant
05:03on peut faire ça en quelques secondes, et le cycle de patching d'une entreprise qui ne peut pas être
05:07à la minute. Il faudrait, mais c'est impossible.
05:10Alors l'IA peut aider à patcher plus vite.
05:12L'IA peut aider, l'IA peut aider.
05:13Damien, soyons positifs.
05:14Non, il faut être positif de toute façon.
05:15Et justement, je voudrais quand même vous faire réagir aussi Nicolas sur la question du temps qui s'est écoulé
05:22entre le moment où on a découvert cette faille et le moment où on a commencé à s'y intéresser
05:26vraiment de manière pratique.
05:29Il ne faut pas oublier que les services, l'équivalent de l'ANSI en Allemagne, en fait, a financé
05:35un audit de PHP, a trouvé et détecté déjà un certain nombre d'incidents de sécurité
05:41sur PHP. Ils ont fait remonter la fondation PHP, tout ça en mode confidentiel.
05:46Et puis, la communauté s'est mise en œuvre pour commencer à réécrire, j'allais dire,
05:53en tout cas, à patcher les failles.
05:56Je pense que ce temps, il est à la fois sain, mais comme l'a dit Damien, aujourd'hui,
06:01à l'ère de l'IA, le temps, il va se réduire entre la détection et la réaction, c'est
06:08-à-dire
06:08le patching en lui-même, la mise à jour.
06:10Et ça, c'est un grand sujet aujourd'hui qui arrive, je pense, dans le monde dans lequel
06:15nous vivons, c'est d'avoir cette capacité de détecter des failles qui, parfois, sont
06:20planquées, si vous me permettez l'expression, dans des logiciels ou des systèmes d'exploitation
06:23ouverts depuis un très grand nombre d'années.
06:26Et puis, de l'autre côté, cette capacité de réagir extrêmement vite sans casser les
06:32productions de services numériques en ligne, puisqu'il y a des services majeurs qui tournaient
06:35sur PHP.
06:37Et donc, effectivement, ça nous appelle à vraiment savoir comment, aujourd'hui, on va
06:41prendre en compte, à l'ère de l'IA, la cybersécurité d'un certain nombre d'applicatifs
06:46web.
06:46Si je peux me permettre, aujourd'hui, l'IA, c'est quelque chose que je trouve extrêmement
06:50sain pour, justement, détecter beaucoup plus vite les failles dans un certain nombre
06:55de logiciels et d'applications.
06:57Mais ça n'enlève pas, bien sûr, la réactivité humaine et la coordination humaine pour la mise
07:01à jour, justement, on l'a vu à très large échelle des systèmes d'exploitation
07:05et de leurs applicatifs derrière.
07:07Le fait qu'une grande partie des sites Internet utilisent ce langage PHP, c'est un problème,
07:13c'est un talon d'Achille, aujourd'hui, pour le web ? C'est la question qu'on pose
07:16dans l'émission.
07:17Et deuxième question, le fait que ce PHP repose sur une fondation maintenue par des bénévoles,
07:25pose question aussi, aujourd'hui.
07:27C'est un talon d'Achille.
07:28La réponse peut être bipolaire, oui et non.
07:31Aujourd'hui, de toute façon, 70% des sites utilisés utilisent PHP.
07:35Si demain, on se dit PHP, c'est un problème, il faut l'arrêter et passer à autre chose,
07:39ça ne va pas se faire en un claquement de doigts et donc ça va prendre du temps.
07:41Donc, par rapport à ça, oui, c'est un talon d'Achille.
07:44Maintenant, ça permet aussi, on parle d'entreprise, mais à des particuliers de mettre à disposition
07:48des petits sites web extrêmement simplement, sans aucune connaissance de développement,
07:53etc.
07:53Donc, pour ça, ça a tout un tas de bienfaits.
07:56Maintenant, par rapport à ce qu'a dit Nicolas sur l'IA, effectivement, il y a des enjeux
08:01qui peuvent être plus ou moins importants et impactants.
08:05Là, c'est des chercheurs de Whiz qui ont trouvé cette vulnérabilité grâce à OpenAI,
08:09grâce à Google, etc.
08:11Qu'est-ce qu'ils en seraient si ça avait été des attaquants qui avaient exploité de la même
08:15manière l'IA et trouvé ces failles ?
08:17Et d'ailleurs, qui nous dit que ce n'était pas déjà le cas ?
08:19Donc, par rapport à ça, il faut mettre une nuance.
08:22Je ne veux pas non plus avoir un discours alarmiste, parce que, comme vous l'avez bien dit aussi,
08:25les entreprises peuvent se servir de l'IA pour réagir, pour patcher plus vite.
08:30Mais la conclusion, et on le verra après, c'est ce qu'a encore une fois résumé Nicolas,
08:33le fossé entre le temps de détection et le temps de patching et de réaction va être important.
08:38Je ne sais pas ce que vous imaginez quand vous dites qu'on le verra après,
08:40parce que l'émission va bientôt se terminer.
08:42Vous savez, ça passe très vite ici dans le partag.
08:44Nicolas, une réaction sur le fait que derrière PHP, c'est une fondation,
08:48ce sont des bénévoles.
08:51On a un problème majeur dans le logiciel libre, c'est le manque de soutien de la communauté.
08:56C'est qu'il y a des gens qui font beaucoup d'argent avec ces applications et ces systèmes,
09:01qui ne contribuent pas financièrement à ces logiciels.
09:05Et ça, c'est dommage, on peut le regretter, on peut le déplorer.
09:08Donc, moi, j'appelle effectivement peut-être le législateur français à modifier légèrement la loi.
09:13Et on pourrait profiter de Nice 2 ou d'autres, d'ailleurs, pour essayer de trouver une sorte de co
09:18-de-part qui permettrait de co-financer par des dons ou autre.
09:24C'est ce genre de fondation.
09:26Je pense que ce serait une bonne chose, d'autant plus que PHP est européen.
09:29C'est bon pour la souveraineté.
09:30On va quand même le dire aussi à l'origine.
09:32Et puis, effectivement, je crois que 10 personnes qui maintiennent en vie l'un des systèmes les plus critiques, parmi
09:39d'autres, bien sûr,
09:40mais du web aujourd'hui, c'est quand même une notion de réaction pour nous tous.
09:45Et je pense qu'il faut les soutenir, d'autant plus, si vous le permettez en deux secondes,
09:48qu'il y a eu un appel de la communauté aujourd'hui des organisateurs d'événements tech en France
09:54qui manque de soutien, qui manque de soutien financier, qui n'arrivent plus à se réunir,
09:58justement pour débattre de tous ces sujets d'évolution des systèmes, de la cyber et autres.
10:03Je pense notamment à des événements organisés par l'AFUP, qui est l'association française des utilisateurs de PHP.
10:09Mais il y en a d'autres qui ont des problèmes de financement, qui n'arrivent plus à organiser, à
10:13se réunir.
10:14C'est un problème majeur.
10:15Et je pense que nos gouvernants, à travers par exemple l'ANSI, la DINUM,
10:19pourraient peut-être aider à contribuer à faire des choses et à mieux organiser ce genre de choses en France.
10:24Allez, on passe pour terminer au conseil.
10:26Quel conseil donne un expert cyber aujourd'hui ?
10:30Justement, c'est là où je voulais en venir sur cet aspect de conclusion.
10:33Comme le fossé va se creuser entre le temps de détection et le temps de réaction,
10:38aujourd'hui il faut partir du principe que patcher à toute vitesse,
10:41de toute façon vous ne pourrez pas toujours le faire.
10:44Donc il faut plutôt penser à un aspect de résilience
10:46et anticiper quelles peuvent être les conséquences.
10:49Si mon site web demain est attaqué, on prend le contrôle sur ce site web.
10:53Regardez quelles peuvent être les dépendances de ce site web par rapport au reste de mon SI interne.
10:58Est-ce que j'ai peut-être des bases de données extrêmement critiques en interne ?
11:01Et être capable de bloquer les mouvements latéraux pour que si ce site web est compromis,
11:07je l'accepte, j'en prends part,
11:09mais par contre je ne veux pas que le reste de mon SI soit complètement planté en production
11:13et que des données soient exfiltrées ailleurs que ce site web-là.
11:16C'est vraiment ce parti pris qu'il faut prendre et se dire
11:18oui je dois patcher le plus vite possible mais je ne peux pas le faire à la minute.
11:22Les attaquants grâce à l'IA vont plus vite.
11:24Donc je dois connaître ma surface d'exposition
11:26et être en mesure d'avoir mis des politiques en place
11:29qui bloquent ces mouvements latéraux
11:30pour éviter une grosse catastrophe sur l'intégralité de la prod.
11:33Nicolas, quelque chose à ajouter
11:34et peut-être un commentaire sur la décision qui a été prise de couper les sites internet.
11:38C'était ce qu'il fallait faire comme ça dans l'urgence j'imagine.
11:42Ça paraît toujours très impressionnant
11:44mais moi j'ai toujours pour habitude de dire que c'est la vie des réseaux et des systèmes.
11:47Donc c'est tout à fait normal de prendre des mesures qui sont parfois fortes
11:51et parfois impressionnantes
11:53mais c'est la bonne réaction d'avoir coupé les accès
11:56et le temps de patcher, de tester ensuite
11:59et de remettre en production des systèmes que je vais considérer comme propres.
12:02C'est une bonne chose de le faire.
12:05Encore une fois, on n'aime pas trop en tant qu'utilisateur final
12:08quand nos banques par exemple coupent les systèmes des fois un soir ou le week-end
12:11et puis remettent en service
12:12parce que nous on a envie de se connecter à nos comptes bancaires etc.
12:15C'est un exemple parmi d'autres.
12:16Mais là vraiment c'était la bonne décision pour éviter des attaques majeures
12:19et on l'a vu quelques minutes et quelques heures après
12:21il y a eu des attaques qui tentaient d'exploiter cette faille
12:24donc c'est une bonne chose d'avoir utilisé cette approche je pense.
12:27Merci beaucoup Nicolas Guillaume d'avoir été avec nous à distance
12:31mais très présent.
12:32Vous êtes le président je le rappelle de Arcaven.
12:34Dan et Damien Biorzik, merci également pour votre participation
12:38et vos éclairages sur ce sujet.
12:40Je rappelle que vous êtes expert en cyber résilience chez Illumio.
12:44Merci à tous de nous avoir suivis.
12:45C'était Smartech.
12:46On se retrouve dès demain sur la chaîne Bsmart.