PHP2Shell et Dessa : la faille qui ouvre le web, et la voix IA qu'on confond avec un humain

Ce matin, à ma chronique IA à Cogeco Outaouais 104.7 FM, j'ai apporté deux sujets au lieu de trois. Pas par manque de matière. Parce que les deux méritent qu'on prenne le temps.

Le premier, c'est une faille de sécurité critique qui touche une énorme partie du web. Le deuxième, c'est une voix d'intelligence artificielle tellement humaine qu'on a fait un quiz en studio : devine qui est l'IA, devine qui est l'humain.

Deux nouvelles très différentes. Un même constat à la fin.

Sujet 1 : PHP2Shell, la grande porte ouverte

PHP, c'est le langage derrière une part énorme des sites web, dont la plupart des sites WordPress. Quand une faille se trouve dans PHP lui-même, ce n'est pas un site qui est exposé. C'est tout ce qui roule dessus.

C'est exactement ce qui vient d'arriver. Le 21 octobre, l'équipe de sécurité de PHP a publié en urgence des correctifs pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom PHP2Shell. Le Centre canadien pour la cybersécurité en a fait son alerte AL26-026 le même jour.

Ce qu'il faut comprendre, sans jargon :

- Les deux failles sont cotées 9,2 sur 10 en gravité.

- Un attaquant n'a pas besoin d'un mot de passe. Il peut exécuter du code sur un serveur vulnérable, avant même que le code de ton site démarre.

- Les versions corrigées, publiées le 21 octobre, sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

- Si ton site roule sur PHP 8.1 ou plus vieux, il n'y a pas de version officielle corrigée. C'est un problème en soi.

- Le 23 octobre, une troisième faille s'est ajoutée, CVE-2026-115560. Elle n'est pas couverte par les correctifs du 21 octobre. La mesure temporaire recommandée : désactiver `session.upload_progress`.

Des sites que les gens d'ici connaissent ont été mis hors ligne par précaution dans les jours autour de l'annonce, dont des sites du gouvernement du Canada, de la STM et de la SAQ, selon les reportages publiés à ce moment-là. Pas parce qu'ils étaient en panne. Parce que fermer la porte le temps de vérifier, c'était la bonne décision.

Et l'angle IA là-dedans? Le voici. Trouver des failles, les tester et scanner le web à grande échelle ne se fait plus à la vitesse humaine. Les attaquants scannent déjà massivement. La bonne formulation, c'est celle-là : les attaquants scannent. Ça ne veut pas dire que tout le monde a été compromis. Ça veut dire que la fenêtre entre « la faille est publique » et « quelqu'un essaie de l'exploiter chez toi » est rendue très courte.

Quoi faire si tu as un site web

Une seule question à poser à ton hébergeur, aujourd'hui :

« Quelle version de PHP roule mon site, et a-t-elle été mise à jour depuis le 21 octobre? »

Si la réponse est 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, tu es du bon côté pour les deux premières failles. Demande aussi ce qui a été fait pour la troisième, celle du 23 octobre. Si personne ne peut te répondre clairement, tu viens de trouver ton vrai problème, et ce n'est pas juste technique.

Deux précisions importantes. Un correctif ferme la faille, il ne nettoie pas un serveur où quelqu'un serait déjà entré. Et si ton site traite des renseignements personnels et qu'il y a eu atteinte, la Loi 25 embarque : documentation, évaluation du risque, notification si le seuil est atteint. C'est pour ça qu'une vérification documentée vaut plus qu'un « ça devrait être correct ».

Sujet 2 : Dessa, la voix qui a appris en écoutant

Le 23 octobre, Block, l'entreprise de Jack Dorsey derrière Square et Cash App, a dévoilé Dessa. C'est un modèle de voix construit par un petit laboratoire dirigé par Ragavan Thurairatnam et fondé par d'anciens membres de Dessa, une entreprise de Toronto en apprentissage profond.

La différence avec les assistants vocaux que tu connais :

D'habitude, la chaîne va comme ça : ta voix devient du texte, le texte passe dans un modèle de langage, la réponse redevient une voix. À chaque conversion, on perd quelque chose : le ton, l'hésitation, le rire, l'émotion.

Dessa saute le texte au complet. Selon Block, le modèle a été entraîné à partir de zéro, uniquement sur des conversations humaines. Aucun texte. Aucun modèle préentraîné. Aucun modèle de langage en dessous. Audio qui entre, audio qui sort.

Résultat, toujours selon Block : Dessa écoute et parle en même temps, comme une personne. Il peut réagir pendant que tu parles avec un « yeah » ou un « got it », entendre le sarcasme, rire, soupirer. Block dit aussi qu'il roule en local sur un MacBook Pro avec puce M4 Max ou mieux, plus vite que le temps réel, et qu'il a été entraîné sur un seul système NVIDIA GB200 NVL72, avec des centaines de fois moins de mots que les grands modèles de texte.

C'est pour ça que j'ai apporté des extraits audio en studio ce matin. Le meilleur moyen d'expliquer Dessa, ce n'est pas de le décrire. C'est de le faire deviner.

Maintenant, les limites, parce qu'elles comptent

Dessa n'est pas disponible au public. C'est un aperçu de recherche. L'accès hâtif est limité à un petit groupe de chercheurs en sécurité de l'IA, et il y a une liste d'attente pour la suite.

Block n'a publié aucun test de performance, aucun chiffre de latence, aucun nombre de paramètres. La phrase de Jack Dorsey, « le modèle vocal le plus authentique jamais construit », c'est une affirmation de l'entreprise, pas une mesure indépendante. Les démos publiées sont en anglais.

Donc on ne parle pas d'un outil que tu peux brancher demain dans ton entreprise. On parle d'une direction. La voix devient l'interface. Pas l'écran, pas le clavardage. La voix.

Et ça soulève la question de confiance tout de suite : le jour où un agent vocal au service à la clientèle sonne exactement comme un humain, est-ce qu'il doit le dire? Ma réponse est oui, clairement, et dès le départ. Au Québec, avec la Loi 25 et les règles sur le consentement, se faire passer pour un humain sans le déclarer, ce n'est pas une stratégie. C'est un problème qui s'en vient.

Le fil entre les deux sujets

PHP2Shell et Dessa racontent la même histoire, par deux bouts opposés.

D'un côté, les failles se trouvent et s'exploitent plus vite que nos habitudes de mise à jour. De l'autre, les voix deviennent indiscernables plus vite que nos réflexes de méfiance.

Dans les deux cas, la solution n'est pas de paniquer. C'est de raccourcir ton délai de réaction.

Pour ton site : pose la question de version à ton hébergeur cette semaine, et garde la réponse par écrit.

Pour la voix : commence à en parler en équipe et en famille. Un mot de vérification convenu pour les demandes urgentes par téléphone, une règle simple qui dit qu'un agent vocal s'identifie comme une IA. Ça coûte rien, et le jour où tu en auras besoin, il sera trop tard pour l'inventer.

Ce matin en studio, on a ri pendant le quiz. On s'est trompés aussi. C'est exactement pour ça que ces deux sujets méritaient plus que trois minutes chacun.