// LES NUMÉRIQUES — INTELLIGENZA ARTIFICIALE
Actualité : L’IA met Internet en alerte : failles en série, banques piratées, sites de l’État coupés… on vous explique ce qu'il se passe en ce moment
Préfectures, impôts, Météo-France : le 21 octobre 2026, plusieurs sites publics ont été coupés par précaution. En cause, deux failles critiques découvertes grâce à l’intelligence artificielle. Ces dernières semaines, des pirates se sont aussi servis de l’IA pour attaquer des banques et des boutiques en ligne, pour quelques dollars à peine. Faut-il s’inquiéter ? Voici ce qu’il se passe vraiment.
© Collagery - Des programmes d’IA capables d’enchaîner seuls toutes les étapes d’une cyberattaque sont déjà entre les mains de pirates.
Depuis le 19 octobre, les alertes de cybersécurité s'enchaînent, au point que certains parlent de “black october” sur les réseaux sociaux. Derrière ce bruit, un même sujet revient sans cesse : l'intelligence artificielle. Elle trouve des failles (des erreurs dans le code qui laissent une porte ouverte aux pirates) bien plus vite qu'avant. Elle aide aussi des pirates à attaquer en masse grâce à des agents IA, des programmes qui enchaînent seuls toutes les étapes d'une attaque, de la recherche d'une faille jusqu'à l'intrusion.
Mercredi 21 octobre dans l'après-midi, les internautes qui cherchaient le site de leur préfecture sont ainsi tombés sur une page de maintenance, tout comme ceux qui se rendaient sur impots.gouv ou Météo-France. Le CERT-FR, centre d'alerte de l'ANSSI (l'agence chargée de la cybersécurité de l'État), venait de publier son alerte sur PHP2Shell.
Ce surnom désigne deux failles de PHP, le langage qui fabrique les pages de près de 70 % des sites web (WordPress, beaucoup de boutiques en ligne, nombre de sites publics). Elles permettent de prendre le contrôle d'un serveur (l'ordinateur qui héberge un site) à distance, sans mot de passe. La veille, l'Union européenne avait déjà tiré la sonnette d'alarme.
À la demande de l'ANSSI, le ministère de l'Intérieur a procédé à la mise en maintenance préventive de l'ensemble de ses sites internet exposés à une vulnérabilité critique de sécurité.
Aucun des sites coupés n'avait été piraté. Néanmoins, l’État a préféré débrancher sans attendre : plus de 600 000 serveurs utilisent PHP sur l'Internet français, selon l'ANSSI, citée par ActuIA. Ces failles dormaient dans le code depuis plus de 10 ans, et c'est l'IA qui a permis de les débusquer. Wiz, l'une des entreprises à l'origine de la découverte, les classe “parmi les vulnérabilités les plus graves jamais trouvées dans PHP, et sans doute dans l'histoire du logiciel”, sur son blog.
Dans les 10 h précédant l'annonce publique, nous avons vu des milliers de tentatives d'exploitation sur notre réseau. On est passé à des dizaines de milliers dans les 45 min suivant l'annonce, à des centaines de milliers en 2 h, et à des millions maintenant.
Ces chiffres du patron de Cloudflare, entreprise qui protège une large part des sites mondiaux, ont été repris par Reuters. Une tentative reste toutefois loin d'une intrusion : au 22 octobre, l'agence étasunienne de cybersécurité CISA n'avait pas classé PHP2Shell parmi les failles effectivement exploitées.
La même semaine, un autre pilier du Web a vacillé. eMudhra, société indienne qui délivre des certificats HTTPS (le petit cadenas qui garantit qu'on se trouve bien sur le vrai site), protégeait huit d'entre eux avec des clés secrètes réduites à des nombres inférieurs à 256. L'une valait tout simplement 4. N'importe qui aurait pu fabriquer un faux site bancaire muni d'un cadenas en règle, avant que les navigateurs ne bloquent ces certificats. Le même jour que PHP2Shell, GitLab, plateforme où les entreprises stockent le code de leurs logiciels, corrigeait de son côté une faille notée 10 sur 10, présente depuis 2014.