PHP : deux failles critiques, et l'IA dans l'équation

PHP2Shell : correctif le 21 octobre, attaques en cours

PHP a corrigé le 21 octobre deux failles critiques permettant l'exécution de code à distance. 01net les baptise PHP2Shell et rappelle l'échelle du problème : le langage fait tourner environ 70 % des sites web. Une exploitation réussie, c'est la prise de contrôle d'un serveur à distance.

Les cyberattaques exploitant ces vulnérabilités ont déjà commencé, selon 01net. Côté réponse, ActuIA indique qu'à la demande de l'Anssi, le ministère de l'Intérieur a coupé ses sites exposés. La correction est datée du 21 octobre.

Un défaut connu depuis 2024, critique seulement à l'été

Le détail le plus intéressant n'est pas dans le correctif. Le défaut à l'origine de l'une des deux failles était connu depuis 2024 ; son exploitation n'a été démontrée qu'à l'été, avec l'aide de modèles d'IA, selon ActuIA. Le code fautif était donc identifié — sa gravité ne l'était pas.

Les deux dépêches ne décrivent d'ailleurs pas tout à fait le même rôle pour l'IA. ActuIA parle d'une aide à révéler le défaut ; 01net écrit que les failles ont été débusquées par l'intelligence artificielle, via les modèles de pointe de Google et d'OpenAI. La nuance compte : entre « l'IA a trouvé la faille » et « l'IA a aidé à établir qu'elle était exploitable », le degré d'autonomie — et donc de responsabilité — n'est pas le même.

Ce qui reste acquis : un défaut dormant depuis 2024 est devenu critique en quelques semaines d'analyse assistée.

Agents IA : vendre, c'est devenir fabricant

Pendant que le code se corrige, le droit avance. La directive (UE) 2024/2853, à transposer au plus tard le 9 décembre 2026, fait du logiciel — SaaS compris — un produit. Conséquence directe : qui développe ou vend sous sa marque un agent IA devient fabricant, et répond sans faute des lésions, des atteintes psychologiques médicalement reconnues et des destructions de données non professionnelles causées par un défaut.

Un point de calendrier à ne pas rater : une mise à jour substantielle effectuée après cette date fait entrer un agent existant dans le régime. Autrement dit, une simple évolution produit peut faire basculer un outil déjà en service sous un régime de responsabilité qu'il n'avait pas connu jusqu'ici.

Voxtral 3, et ce que l'IA change à l'embauche

Deux autres signaux, sans lien direct avec PHP. Mistral AI a présenté le 20 octobre Voxtral 3, une famille de modèles vocaux qui transcrit plus de 50 langues et en parle plus de 35. Ces modèles servent aussi de base à un kit pour créer des agents vocaux. En mars, le premier modèle de synthèse vocale de Mistral ne gérait que 9 langues : l'écart mesure le chemin parcouru face à ElevenLabs et ses 90 langues.

Côté emploi, une étude signée d'économistes de HEC Paris, de la Banque de France et de l'INSEAD regarde environ 600 entreprises françaises déclarant un usage intensif de l'IA. En 2025, elles ont embauché de 17 à 25 % de jeunes de 21 à 29 ans en CDI de moins que les autres entreprises de leur secteur — sans écart net sur leur effectif total. Les auteurs recommandent de redéfinir les premiers postes autour de ce que l'IA accomplit mal.

Et maintenant ?

Les trois textes dessinent un même déplacement : l'IA n'est plus seulement ce qui produit du code ou de la voix, elle devient une méthode d'analyse — pour le meilleur, quand elle transforme un défaut connu en alerte critique — et un objet de droit, avec la directive 2024/2853. Entre la faille corrigée le 21 octobre et l'échéance du 9 décembre 2026, la question n'est plus de savoir si les modèles trouvent des bugs, mais qui répondra de ce qu'ils touchent.