Changpeng Zhao (CZ), fondateur de Binance, appelle les internautes à la prudence après la découverte par des chercheurs de deux vulnérabilités critiques dans PHP, activement exploitées. Ces failles pourraient toucher jusqu'à 70 % des sites web, dont des plateformes comme WordPress et Magento, faisant de cet épisode l'un des plus grands événements de sécurité de l'année, aussi bien pour la crypto que pour le reste d'Internet.
Ce qui s'est passé
CZ, fondateur de Binance, a publié une alerte le 23 octobre 2026 invitant à la prudence lors de la navigation sur le web dans les jours à venir. Il explique que PHP, largement utilisé pour WordPress et Magento, a corrigé deux failles critiques, CVE-2026-109618 et CVE-2026-109619, le 21 octobre 2026. Les détails ont fuité avant la divulgation officielle, et l'exploitation a commencé presque immédiatement. L'équipe de renseignement sur les menaces d'Amazon a détecté des tentatives d'exploitation dès le 17 octobre 2026, soit plusieurs jours avant la publication du correctif. Palo Alto Networks a dénombré plus de 22,6 millions d'instances exposées dans le monde. Les chercheurs de Wiz estiment que ces failles pourraient affecter environ 70 % d'Internet, qualifiant le problème sous-jacent de vieux de plus d'une décennie. Matt Hull, du NCC Group, a averti que certains systèmes pourraient déjà être compromis et dotés de portes dérobées, selon WuBlockchain.
Comment en est-on arrivé là
Haseeb Qureshi, associé gérant chez Dragonfly, estime que la crypto connaît une vague de piratages avant le reste d'Internet, car les attaques on-chain sont plus faciles à monétiser directement. Il note que le volume d'attaques a fortement augmenté, mais que les pertes annualisées restent globalement stables par rapport à 2025, ce qui signifie que la perte moyenne par incident a diminué à mesure que les grands protocoles adoptent des défenses basées sur l'IA. Vitalik Buterin, cofondateur d'Ethereum, répondant au débat sur la découverte de vulnérabilités assistée par IA, a déclaré qu'il n'avait jamais pensé que la défense dépasserait automatiquement les attaquants. Il estime que des avantages durables nécessitent des changements plus profonds, dont la vérification formelle, et appelle à consacrer plus de 1 % du PIB à la cybersécurité et à la biosécurité, selon WuBlockchain.
Pourquoi cela vous concerne
Pour les utilisateurs de crypto, cet épisode rappelle que la plupart des piratages démarrent encore sur une infrastructure web classique, et non sur les smart contracts. Les interfaces de portefeuilles, les portails d'échanges et les frontends DeFi reposent souvent sur des systèmes basés sur PHP, de sorte que des serveurs non corrigés peuvent exposer identifiants ou phrases de récupération. Les porteurs de petits protocoles sont les plus exposés, Qureshi soulignant que les attaquants ciblent de plus en plus les projets aux budgets de sécurité limités. Les grandes plateformes qui ajoutent une surveillance pilotée par l'IA pourraient subir moins de pertes par incident, mais les petites équipes ne peuvent pas encore rivaliser. Toute personne gérant un site personnel, une passerelle de portefeuille ou un blog d'entreprise devrait vérifier que le correctif du 21 octobre est bien installé et considérer les plugins obsolètes comme une menace active, et non future.
La question de fond
Si l'IA peut aider attaquants et défenseurs à découvrir les mêmes failles à la même vitesse, une meilleure détection réduit-elle réellement les dommages réels, ou ne fait-elle qu'accélérer la cadence des deux camps ? L'incertitude même de Buterin quant à la capacité de la défense à prendre l'avantage suggère que même les experts ignorent qui profitera le plus de la diffusion de ces outils, dans la crypto comme sur le reste d'Internet.
À surveiller
Les équipes de sécurité continueront de suivre l'exploitation de CVE-2026-109618 et CVE-2026-109619 tout au long de 2026. Les opérateurs de sites web doivent appliquer immédiatement le correctif du 21 octobre. Par ailleurs, la première règle de l'OCC issue du GENIUS Act sur les rendements des stablecoins entre en vigueur le 18 janvier 2027, un rappel que les calendriers de sécurité et de régulation de la crypto avancent désormais en parallèle.
