Treize mille vulnérabilités répertoriées en 30 jours : c’est l’équivalent de 3 % de tous les bugs de sécurité jamais enregistrés par le NIST depuis 1988, découverts en un seul mois. Confrontée à l’onde de choc mondiale provoquée par les failles PHP2Shell, l’organisation de défense des libertés numériques Electronic Frontier Foundation (EFF) a publié une charge virulente contre le parasitisme économique des géants technologiques.
Pour l’ONG, l’accélération brutale de la détection de failles par l’intelligence artificielle met à genoux les quelques bénévoles qui maintiennent les fondations logicielles du web mondial.
💡 En résumé : la fracture du modèle open source
- L’explosion artificielle : dopés aux modèles de pointe comme GPT-5.6 Sol, Gemini 4 Argon ou Claude, les chercheurs génèrent des volumes de failles ingérables pour des équipes bénévoles.
- Le syndrome PHP2Shell : plus de 33 millions de serveurs restent encore exposés à des failles d’exécution à distance critiques (CVE-2026-109618 et CVE-2026-109619).
- L’exigence financière : l’EFF réclame que les multinationales dont les valorisations boursières reposent sur le code libre financent directement le temps de travail des mainteneurs.
💡 L’origine de la panique mondiale (PHP2Shell)
Retrouvez notre décryptage complet sur les déconnexions d’urgence des préfectures, l’embargo brisé par un prestataire et le mea culpa des développeurs : Embargo brisé et blackout mondial : les coulisses du chaos sécuritaire PHP2Shell.
Quand l’intelligence artificielle industrialise la chasse aux failles
Pendant des décennies, débusquer un bogue d’exécution de code à distance (RCE) dissimulé au fond d’un moteur d’exécution demandait des mois d’expertise pointue et des ressources réservées à des équipes d’élite comme le Project Zero de Google. Cette époque est révolue. Il suffit désormais d’une poignée d’euros de crédits API et d’une invite élémentaire adressée à un modèle d’IA frontière pour passer au crible des millions de lignes de code en quelques minutes.
Cette asymétrie opérationnelle s’est matérialisée dans l’affaire PHP2Shell. La faille d’allocation mémoire dormait depuis dix ans dans le moteur open source ; elle a été déterrée et rendue immédiatement exploitable par le modèle GPT-5.6 Sol via Calif et OpenAI, avant que Wiz ne confirme le risque en croisant plusieurs architectures d’IA. Face à cette industrialisation, la base nationale des vulnérabilités (NVD) explose sous les signalements automatisés : les projections indiquent que plus de 25 % des failles de sécurité de l’histoire de l’informatique auront été recensées sur la seule année 2026.
Le mirage de la gratuité et l’épuisement des mainteneurs
Le constat dressé par l’EFF ne laisse aucune place à l’ambiguïté : l’économie numérique multimilliardaire s’est bâtie sur le dos d’une poignée d’artisans du code qui interviennent sur leur temps libre. Des briques d’infrastructure indispensables comme PHP, OpenSSL ou SQLite reposent fréquemment sur des collectifs comptant moins de développeurs à temps plein que les doigts d’une seule main. Les récentes alertes critiques signalées coup sur coup sur Node.js et GitLab confirment que la déferlante concerne l’ensemble de la chaîne logicielle moderne.
Alors que des attaquants exploitent déjà des outils d’IA agentique pour fouiller les serveurs compromis et aspirer des bases d’identifiants en moins de deux heures, les mainteneurs bénévoles subissent un taux d’épuisement professionnel sans précédent. Tripler les signalements sans financer les bras pour coder et tester les correctifs mène l’écosystème à la rupture. L’appel de l’EFF est limpide : les multinationales dont les profits dépendent directement de ces technologies doivent cesser de considérer l’open source comme une ressource inépuisable et contribuer financièrement à sa survie.
🌐 L’actualité de l’open source et des technologies éthiques dans votre flux
🐘 Fediverse / Mastodon : suivez notre profil officiel @ depuis votre application ou votre instance favorite.
🦋 Bluesky (AT Protocol) : retrouvez nos actualités condensées et abonnez-vous à @goodtech.info.
