Retour aux articles
Par  

Pourquoi les failles de sécurité se multiplient avec l’IA

Conseil

Entre janvier et fin juillet 2026, la base de référence américaine a enregistré 45 207 failles de sécurité. C’est presque autant que sur toute l’année 2025, qui était déjà un record avec 48 185 failles. Ce n’est pas un accident de calendrier.

C’est le début d’une période où les failles de sécurité seront plus nombreuses, découvertes plus vite et exploitées plus tôt. L’IA y est pour beaucoup. Voici pourquoi, sans jargon, et ce que ça change pour votre site.

Le web tourne sur du vieux code

PHP2Shell, la faille qui a secoué WordPress, WooCommerce et PrestaShop le 21 octobre, était présente dans PHP depuis 2012. Quatorze ans. Pendant tout ce temps, personne ne l’a exploitée.

Pas parce qu’elle était introuvable. Pour l’exploiter, il fallait enchaîner une série d’étapes « à la limite de ce que des chercheurs humains peuvent raisonnablement accomplir », selon les mots mêmes de ceux qui l’ont trouvée. (Si vous avez manqué l’épisode, j’ai expliqué PHP2Shell en détail dans cet article.)

Et PHP n’est pas un cas isolé. Le web entier repose sur des logiciels écrits il y a dix, vingt ou trente ans, que personne n’a jamais relus en entier. Pourtant, ils tiennent vos sites, vos boutiques et vos outils de gestion.

Ce que l’IA fait qu’aucun humain ne ferait

L’IA n’est pas plus maligne qu’un expert en sécurité. Elle fait autre chose : elle est infatigable. Elle relit des millions de lignes de code sans en sauter une.

Elle teste des milliers d’hypothèses dans la journée, échoue presque à chaque fois, et recommence sans se lasser. Elle garde en mémoire vingt ans de recherche en sécurité, d’un seul coup. Aucun humain ne travaille comme ça.

Sylvestre Ledru, de Mozilla, le raconte dans l’émission Underscore_ : il relance l’IA sur le même morceau de code, encore et encore. Douze fois, elle ne trouve rien. À la treizième ou quatorzième tentative, elle sort une faille. Résultat chez Mozilla : 271 failles trouvées par l’IA et corrigées dans Firefox 150, en avril 2026.

Il serait difficilement imaginable de demander à une humain de faire treize ou quatorze fois le même test sans même savoir si il y a une faille. Résultat : les failles de sécurité qui restaient étaient précisément celles qui demandaient cette patience-là.

La chaîne : l’exemple de Chrome

Une faille moderne, ce n’est pas un trou. C’est dix petits défauts, inoffensifs chacun, à enchaîner dans le bon ordre. Un humain teste quelques combinaisons par jour. La machine les essaie toutes.

Pour PHP2Shell, un chercheur a assemblé la chaîne en une semaine environ. Une équipe y aurait passé des mois.

En août, la société XBOW a fait plus fort. Avec un modèle d’IA grand public, elle a trouvé comment prendre le contrôle d’un ordinateur depuis une simple page web ouverte dans Chrome. Six jours d’assemblage final, 40 000 $ d’agents IA. Google lui a versé 250 000 $ de prime pour la découverte.

Ce genre d’attaque était réservé aux États et aux grands groupes criminels. Aujourd’hui, n’importe quelle petite bande peut se l’offrir. Autrement dit : plus c’est facile à trouver, plus il y a de monde pour chercher.

Le stock de failles de sécurité est énorme

Des décennies de code n’ont jamais été relues avec ces outils. Chaque semaine, des bugs vieux de dix, vingt ou trente ans ressortent. Plus on cherche, plus on trouve.

Cela durera tant que le stock n’est pas épuisé. Comptez en années, pas en mois.

Deux vitesses : trouver et corriger

Trouver une faille va désormais à la vitesse de la machine. La corriger va toujours à la vitesse des humains. L’éditeur publie un correctif, l’hébergeur l’installe, puis vous choisissez la bonne version dans votre espace client. Chaque étape prend des jours, parfois des semaines.

Pendant ce temps, les attaquants accélèrent. Le délai médian entre la publication d’une faille et sa première exploitation est passé de 120 jours en 2025 à 80 jours au premier semestre 2026.

Pour PHP2Shell, les premières tentatives d’attaque ont même précédé la sortie du correctif. Les détails avaient fuité la veille.

Plus de failles de sécurité ne veut pas dire plus de piratages

Je ne vends pas de rêve. Je ne vends pas de cauchemar non plus. Sur 1 061 failles attribuées à l’IA au premier semestre 2026, 14 ont été exploitées. Soit 1,3 %, le même taux que pour les autres.

Pourquoi ? Parce que la grande majorité sont trouvées par les éditeurs eux-mêmes, avec les mêmes outils, et corrigées avant que quiconque ne s’en serve. Le danger n’est donc pas le nombre de failles. C’est le retard de mise à jour.

Un site corrigé dans les jours qui suivent ne craint presque rien. En revanche, un site qui traîne six mois sur une vieille version de PHP devient une cible de choix. Et les robots des pirates ne font pas la différence entre un ministère et une boulangerie.

Et après ?

À long terme, les mêmes outils reliront le code avant qu’il soit publié. Les failles seront trouvées en amont, pas en production, et la courbe redescendra.

Mais ce long terme se compte en années. D’ici là, la fenêtre entre « faille publiée » et « faille exploitée » ne se compte plus en mois. Parfois en heures.

Ce que ça change pour votre site

Concrètement, trois choses.

  1. La maintenance n’est plus une option. Un site vitrine ou une petite boutique qu’on ne touche plus pendant deux ans, ça passait avant. Plus maintenant.
  2. Il faut savoir qui tient les fondations. Mettre à jour WordPress ne suffit pas : le moteur en dessous, PHP, est mis à jour par votre hébergeur ou par la personne qui administre votre serveur. Si vous ne savez pas qui c’est, c’est probablement personne.
  3. Les délais se comptent en jours. Quand une faille critique sort, « on verra le mois prochain » n’est plus une réponse.

Avoir un site, ce n’est plus le faire faire. C’est le faire entretenir.

Vous ne savez pas qui entretient votre site, ni sur quelle version de PHP il tourne ? Écrivez-moi, on fait le point en quelques minutes.

Sources

Retour aux articles

Un barbu qui fait un boulot de barbu

Je vous accompagne à tous les niveaux pour vos projets web

Me contacter