Volez mon Bitcoin : exploit PHP, hype contre réalité

Si vous avez traîné sur les réseaux sociaux de la sécurité ces derniers temps, vous avez vu l'affirmation : les nouvelles failles d'exécution de code à distance (RCE) dans PHP sont si triviales que des agents IA exploitent déjà des serveurs vulnérables par milliers. Des essaims entiers. Inarrêtables. Un développeur, lassé de ce bruit, a fait quelque chose de délicieusement direct. Il a monté un serveur avec une version de PHP antérieure aux correctifs, y a caché une clé Bitcoin d'environ cinq cents dollars, à portée d'un attaquant qui réussirait son coup, et a publié un lien accompagné d'une invitation en deux mots : « volez-la ». Après tout, un exploit PHP était censé être quelque chose qu'un chatbot peut sortir avant le déjeuner. Le compteur du site s'est mis à grimper. Puis il s'est passé quelque chose d'intéressant : rien.

Des heures ont passé. Les pièces sont restées en place. La section commentaires s'est remplie d'un silence très particulier, celui de dizaines de personnes qui avaient passé des jours à affirmer que l'exploit était un jeu d'enfant et qui découvraient soudain des raisons impérieuses de ne pas pouvoir le démontrer. Quoi qu'on pense de cette opération, elle a fait quelque chose de rare dans le discours de sécurité : elle a transformé une affirmation virale en quelque chose de falsifiable.

Un serveur conçu pour être dévalisé

Le montage emprunte sa mécanique aux compétitions de type capture-the-flag. La clé privée Bitcoin ne se trouve ni dans un fichier de la racine web ni dans une variable d'environnement : elle est détenue par un binaire print-flag accessible au compte utilisateur de PHP. Cela signifie qu'un attaquant a besoin d'une véritable exécution de code sur la machine, et pas simplement d'une fuite d'informations ou d'une traversée de répertoires. Il faut obtenir un shell, lancer le binaire, lire la clé et vider le portefeuille avant que quelqu'un d'autre ne le fasse. La version de PHP a été délibérément choisie parmi celles antérieures aux récents correctifs CVE, et le tout a été annoncé avec un avertissement guilleret : tout le trafic est journalisé et rien sur la machine ne doit être considéré comme privé.

Une clé Bitcoin d'environ 502 $ est cachée sur ce serveur. Elle est accessible au compte utilisateur PHP via le binaire print-flag. Le premier à récupérer le portefeuille gagne.

L'auteur a même ajouté une touche de classe : si vous n'avez pas besoin de l'argent, pensez à en faire don à une association caritative. Et le site affichait obligeamment un compteur en direct, le nombre d'heures sans piratage réussi, qui transformait la page en tableau de score. Chaque heure supplémentaire était en soi une donnée. En une journée, le compteur était devenu l'indicateur de sécurité le plus intéressant du web, précisément parce qu'il mesurait une prédiction sur laquelle des gens avaient engagé leur réputation.

Pourquoi une prime de 500 $ est une machine à falsifiabilité

La plupart des affirmations en sécurité sont infalsifiables par construction. « Les attaquants exploitent déjà cette faille dans la nature » : basé sur une télémétrie que vous ne pouvez pas voir. « N'importe quel analyste junior pourrait en faire une arme en un après-midi » : jamais démontré. « Nos agents ont trouvé des exploits fonctionnels de manière autonome » : croyez la vidéo de démo. Il est impossible de prouver une négative, alors les affirmations s'accumulent. La panique ne coûte rien, parce qu'elle n'a aucun compte à rendre.

Une prime publique avec un compteur public change la donne. Si des milliers d'agents autonomes parcourent réellement Internet pour compromettre chaque box PHP non corrigée, alors une machine qui annonce précisément cette vulnérabilité, avec une récompense en argent et une autorisation explicite, devrait tomber en quelques minutes. Pas en heures. En minutes. Les incitations sont parfaitement alignées : c'est légal, c'est encouragé, et ça paie. Or le compteur n'a cessé de grimper. Une affirmation précise, selon laquelle une exploitation massive et autonome était déjà en cours, a pris un coup direct. Comme l'a résumé un commentateur, le récit des essaims d'agents compromettant tout ce qui bouge ne se produisait clairement pas, sinon les pièces auraient disparu.

C'est une astuce qui mérite d'être volée pour votre propre travail. La prochaine fois qu'un éditeur ou un influenceur vous dira qu'une vulnérabilité est exploitée partout, demandez-lui quelle observation pourrait prouver qu'il a tort. S'il n'y en a aucune, vous n'entendez pas une analyse, mais du marketing. La prime Bitcoin a fonctionné parce qu'elle a transformé des impressions en pari, et les paris ont la merveilleuse propriété d'être réglables.

Économie de l'exploit : pourquoi les vrais attaquants ne jouent pas

Voici le contre-argument, et il est bon : le silence prouve moins qu'il n'y paraît, car un exploit fonctionnel pour une CVE récente vaut bien plus que 500 $, mais seulement tant qu'il reste secret. Chaque fois que vous lancez un exploit sur une cible, vous risquez qu'il soit journalisé, rétro-ingénierié et grillé. Le tirer sur un serveur dont le propriétaire a annoncé d'entrée que tout le trafic est journalisé et que tout Internet regarde ? Ce n'est pas une prime, c'est un feu de joie.

Le fil a fait émerger ce raisonnement des deux côtés de la barrière. Les acteurs offensifs ont des cibles bien plus lucratives qu'un portefeuille de 500 $, et aucun intérêt à confier leurs outils à quiconque lit les journaux. Les chercheurs défensifs qui détiennent des renseignements privilégiés sur ces vulnérabilités disposent d'une fenêtre de correctif à protéger : un CEO d'une entreprise de sécurité a d'ailleurs déclaré publiquement que son équipe disposait d'une RCE fonctionnelle mais refusait de la démontrer, précisément parce que diffuser les détails pendant que les gens se patchent causerait un vrai dommage. Les deux groupes ont fait le même calcul : la valeur espérée de récupérer les pièces est de cinq cents dollars, et le coût espéré est de brûler quelque chose de bien plus précieux. Mauvais échange. Donc la lecture honnête de la prime non réclamée n'est pas « aucun exploit n'existe ». C'est « personne qui possède un exploit ne valorise 500 $ au-dessus du secret ». Ce sont deux conclusions très différentes, et une seule était en jeu.

Le bilan de réalité sur les agents IA

La partie la plus divertissante du fil a été de voir les affirmations sur l'IA se heurter à une cible réelle. Un commentateur a soumis le défi à cinq modèles de pointe et publié les résultats. Deux modèles l'ont interprété comme un défi public légitime, ce qu'il était, et se sont mis au travail. Un l'a signalé comme une demande liée à la cybersécurité et a redirigé l'utilisateur vers un programme de vérification. Un a tout bonnement refusé. Un a été stoppé par un filtre de contenu côté fournisseur avant de pouvoir répondre. Donc sur cinq systèmes à l'état de l'art, deux ont accepté d'essayer, et dans les premiers temps, aucun n'a trouvé le flag. Le tout pointé vers un article qui explore pourquoi les benchmarks IA passent à côté de l'essentiel du travail réel, comme nous l'avions déjà souligné.

Ce mélange en dit plus que l'un ou l'autre des extrêmes. Le réflexe « l'IA ne piratera jamais rien » a tort : les modèles se sont bel et bien engagés, et l'exploitation agentique de cibles de type CTF aux vulnérabilités connues progresse réellement. Mais le camp des « essaims autonomes vident chaque serveur non corrigé » avançait une thèse bien plus forte, et c'est cette thèse forte qu'un honeypot public, autorisé et récompensé en argent met à l'épreuve. Entre-temps, un pentesteur bien connu avait affirmé avoir construit un PoC générique fonctionnel avec un chatbot en deux heures, puis, par une coïncidence que je suis sûr être sans lien, avait enchaîné avec la promotion de sa plateforme de pentest IA. Si cette affirmation avait tenu, la prime aurait disparu avant la première heure. Ce n'est pas le cas. On a déjà vu ce schéma : démos et classements flattent des capacités qui s'effondrent au contact du travail réel, exactement l'écart que nous avions exploré dans pourquoi les benchmarks IA passent à côté de l'essentiel du travail réel.

Le cas d'une expérience truquée

Avant de couronner ce compteur en tant que science, il faut examiner une objection technique qui mérite d'être défendue sérieusement : la configuration précise du serveur n'est peut-être pas réellement exploitable avec les CVE en question. Un commentateur perspicace l'a détaillé : la machine utilise le serveur CLI de PHP plutôt qu'une configuration CGI classique, limite les requêtes à 1 Mio, sert une page essentiellement inerte et autorise une limite mémoire élevée. Selon les chemins de code où se trouvent les vulnérabilités, cette combinaison peut fermer les primitives dont un exploit a besoin. Autrement dit, le honeypot pourrait être invulnérable non pas parce que les failles sont difficiles, mais parce que cette machine précise n'expose pas la surface vulnérable.

Si c'est vrai, l'expérience reste utile : elle recueille des tentatives de preuve de concept pour les configurations qui sont vulnérables, et elle invalide l'affirmation d'un exploit trivial, universel et fonctionnant partout. Mais elle ne prouve pas l'inexistence d'un exploit fonctionnel contre les déploiements réels, qui ressemblent dans leur immense majorité à tout sauf à une box CTF durcie. C'est la leçon générale sur les résultats négatifs en sécurité : ils ne valent que par la fidélité de l'environnement de test. L'absence de preuve n'est une preuve d'absence que lorsqu'on regardait au bon endroit avec les bons instruments. Le compteur mesure la capacité d'Internet à pirater ce serveur, ce qui s'avère être une question plus étroite et plus intéressante que celle que tout le monde débattait.

Ce que les défenseurs devraient vraiment retenir

Rien de tout cela n'est un argument pour la complaisance. La fenêtre de correctif qui suit la publication d'une RCE PHP est réellement dangereuse. Nous avons expliqué pourquoi couper le courant a mieux fonctionné que les correctifs astucieux lors de la dernière fenêtre CVE PHP, et ce conseil reste valable. Ce que la prime change, c'est le calibrage de votre peur. Corrigez parce que les RCE exposées sur Internet sont existentielles, pas parce qu'un fil de discussion vous a annoncé que le ciel tombait déjà.

• Exigez la falsifiabilité. Quand quelqu'un affirme qu'une exploitation massive est en cours, demandez quelle preuve trancherait la question. Un honeypot public avec un compteur est grossier, mais il est plus rigoureux que mille retweets.
• Déployez vos propres canaris. Un commentateur a mentionné garder depuis des années un portefeuille Bitcoin non chiffré sur sa machine personnelle, comme fil piège. Les jetons canaris, les faux identifiants et les fichiers appâts sont des systèmes d'alerte précoce peu coûteux, qui transforment la question « suis-je compromis ? » d'une question d'impression en question de télémétrie.
• Respectez l'économie. Les attaquants compétents thésaurisent leurs exploits ; les commentateurs bruyants monétisent la peur. Aucun de ces groupes n'a d'intérêt aligné sur votre besoin d'une évaluation précise des menaces : donnez donc plus de poids à la télémétrie primaire qu'aux commentaires.
• Séparez les affirmations. « Un exploit existe », « l'exploitation est en cours » et « des agents autonomes exploitent tout » sont trois énoncés distincts, avec trois niveaux de preuve différents. La panique les fond en un seul. Ne la laissez pas faire.
• Corrigez vite malgré tout. Un honeypot silencieux ne signifie pas une exposition silencieuse. Vos serveurs de production n'offrent pas une prime de 500 $, ce qui, paradoxalement, en fait des cibles plus attirantes pour quelqu'un qui détient un exploit fonctionnel.

Le meilleur de cette opération, c'est qu'elle n'a presque rien coûté à son auteur et a produit un signal réel. Un VPS, une version PHP vulnérable, un binaire flag et cinq cents dollars ont suffi à produire la mesure dont tout le débat avait besoin. L'écart entre « un exploit existe » et « un exploit est partout » est précisément là où vit la panique, et désormais un compteur tourne discrètement au milieu de cet écart, défiant quiconque de le combler.