Failles PHP, liens Meta, agents d'achat : trois rapports de force

PHP2Shell : le bug dormant réveillé par les modèles

PHP a corrigé le 21 octobre deux failles critiques permettant l'exécution de code à distance. 01net les baptise PHP2Shell et rappelle l'enjeu de taille : le langage fait tourner environ 70 % des sites web. Les cyberattaques exploitant ces vulnérabilités ont déjà commencé.

Le détail qui compte est ailleurs. Le défaut à l'origine de l'une des deux failles était connu depuis 2024 ; son exploitation n'a été démontrée qu'à l'été, avec l'aide de modèles d'IA. 01net précise qu'il s'agit des modèles de pointe de Google et d'OpenAI. Un bug documenté, dormant, devenu critique le jour où une machine en a trouvé le chemin. Côté français, l'Anssi a demandé la coupure des sites exposés, et le ministère de l'Intérieur a retiré les siens.

Meta rouvre Muse, les liens restent devinables

Meta a réactivé le partage de conversations de Muse, après que des chercheurs ont signalé que les liens publics étaient faciles à trouver. Les chercheurs de Claroc, qui avaient alerté plus tôt dans la semaine, ont pu retrouver la revue de revenus internes d'une entreprise de marketing et la demande de prêt d'un petit entrepreneur.

Le mécanisme n'est pas une intrusion : c'est un lien qu'on devine. Un partage protégé par l'obscurité d'une URL, pas par un contrôle d'accès. L'épisode relance la question du caractère privé des liens de partage — et donc de ce que « privé » signifie quand la seule barrière est une chaîne de caractères difficile à taper.

Microsoft : le diagnostic comme argument massue

Microsoft affirme avoir mis au point un outil d'IA capable de diagnostiquer des pathologies jusqu'à quatre fois plus précisément que des médecins humains. Mustafa Suleyman, PDG de Microsoft AI, déclare à The Verge que cette promesse d'une IA au service de la santé « est enfin là ».

Depuis des années, les dirigeants de l'IA citent la santé comme l'exemple le plus clair de l'utilité concrète de la technologie. La formulation retenue par Suleyman dit aussi le décalage entre les annonces et l'usage courant : une promesse formulée au futur depuis longtemps. Le chiffre — « jusqu'à quatre fois » — est celui de Microsoft, avancé par l'entreprise elle-même.

Walmart encadre les agents qui achètent

Walmart a annoncé le 21 octobre des profils dédiés aux agents d'IA, avec plafond de dépenses, passerelle MCP et conditions d'utilisation permettant de bloquer les agents non conformes. Le distributeur américain fixe ainsi lui-même les règles de l'achat délégué sur sa plateforme.

Deux approches du commerce agentique se dessinent donc : édicter le règlement côté plateforme, ou passer par la justice. Amazon, de son côté, a privilégié la voie judiciaire.

Et maintenant ?

Trois rapports de force, une même semaine. Sur PHP, la machine accélère la découverte et raccourcit la fenêtre entre un défaut connu et son exploitation — celui-là dormait depuis 2024. Chez Meta, elle ne change rien au fond : un lien devinable reste un lien devinable, et la réactivation du partage pose la question à voix haute plutôt que de la refermer. Chez Microsoft et Walmart, l'IA avance avec ses propres règles : un chiffre de précision annoncé par l'entreprise, un plafond de dépenses fixé par le commerçant. Dans les trois cas, le risque est absorbé par des tiers — corrigeurs, chercheurs, plateformes.