WordPress, IA et sécurité : et si on arrêtait de jouer les héros ?

Agences et prestataires de maintenance de sites WordPress, arrêtons de jouer les héros / héroïnes. On n’a techniquement rien eu à faire cette semaine pour la faille PHP2Shell.

À part reposter des infos vues et revues sur les réseaux et répondre aux questions des client·es paumé·es qui ont vu toutes les annonces lancées un peu partout – dont nous sommes du coup partiellement responsables – on n’a pas eu grand chose à faire.

Ce qui n’est certes pas rien, on est là pour ça, mais c’est juste le quotidien d’un service de support investi dans sa mission.

Pourquoi on n’a pas eu grand chose à faire ? Parce que rares sont les agences qui réalisent elles-mêmes l’administration des serveurs de production de leurs clients. Ce qu’on a fait, c’était suivre la sortie du correctif et s’assurer que l’infogéreur technique des serveurs faisait le nécessaire pour déployer les patchs.

Bien entendu en amont comme tout le monde on s’est inquiété de la mise œuvre de la désactivation préventive du module PHP Upload_Progress et tout et tout. Et puis aussi que les vieilles versions de PHP étaient bien patchées. Bref.

Certaines entités opérant des services critiques ont même fermé leurs serveurs. Elles ont sans doute eu raison dans leur contexte particulier. Mais c’est pas la question.

Le résultat, c’est que tout le monde a bien réagit et tout s’est bien passé. Le patch est sorti sur les versions officiellement supportées, le patch est sorti sur les versions non supportées officiellement via des entités comme CloudLinux ou autre. Tout a été mis à jour. Tout va bien on peut repartir comme avant.

PHP2Shell a fait pschit.

Mais au final, où sont les sites piratés ? Nulle part, on n’en connait pas vraiment. Le nombre d’exploitations en conditions réelles de cette faille est proche de zéro à ce jour. Et c’est pas parce qu’on a été bons sur notre maintenance. Vu qu’on n’a rien fait de spécial à part jouer notre rôle.

Au final, on a toutes et tous participé à un grand exercice de sécurité à l’échelle mondiale.

Le problème posé par l’IA
dans la sécurité des logiciels libres

Mon avis, c’est que l’IA est en train de semer la pagaille dans notre routine, pour le meilleur mais aussi pour le pire.

En tant que membre de l’équipe de sécurité d’un projet open source conséquent je vais vous dire un truc : tout laisse à penser que ça va arriver de plus en plus fréquemment. Et ça sera pas toujours des fausses alertes ou des trucs inexploitables. L’IA nous a fait entrer dans un cycle sans fin de mises à jour de sécu. Souvent pour de bonnes raisons, parfois pour de mauvaises, en tout cas faut faire avec le fait qu’on sait pas trop, et il faut faire avec ça.

Non contente d’être insoutenable à l’échelle de la planète, cette technologie est en train de modifier nos organisations, nos manières de nous comporter et de penser, et elle est en plus en train de nous mettre dans le dur sur nos process, nos services. Génialoïde !

Qui va payer la note ?

Avec l’explosion de la quantité de correctifs de sécu partout, nous agences et prestataires devons nous « muscler », ce qui veut dire investir dans des outils plus costauds et recruter des gens. C’est bien beau de le dire, mais après des années de crise économique, d’une part cet investissement va se voir sur les factures de maintenance au détriment des client·es ; d’autre part les nouveaux recrutements indispensables pour muscler l’équipe se font au détriment de l’évolution salariale des salarié·es du secteur, plus ou moins gelée depuis quelques années (crise covid, puis crise politique, puis financière, puis internationale, puis re-politique, etc). Bref, pour résumer notre secteur va réduire la voilure et les perdant·es ce seront les salarié·es qui étaient déjà là auparavant.

Avec cette explosion de la quantité de correctifs de sécu partout, les logiciels libres (et aussi proprio) doivent aussi se muscler un max pour avoir suffisamment d’outils et de ressources humaines pour faire face. Qui payera pour cela ?

Combien d’entreprises du CAC40 investissent dans le logiciel libre ? Combien financent des programmes de sécurité sur les logiciels qui font vivre leur business ?

Combien d’agences et de prestataires informatiques contribuent au code source des logiciels sur lequel repose leur business ?
(même chez nous à Whodunit qui est de loin l’agence qui contribue le plus au développement du logiciel WordPress en France, les initiatives sont malheureusement beaucoup moins importantes que les années précédentes)

Quel est le rapport entre dépenses de tokens IA et investissement financier dans le logiciel libre ?
(je sais même pas dire où on en est chez Whodunit… sans doute qu’on n’est pas au top, mais comment suivre ça précisément ?)

Alors je dis pas hein, c’est chouette ce gros joujou qu’est l’IA. Mais attention à ce qu’on en fait.

Attention, il va falloir investir, et beaucoup. Et pas que dans l’IA mais aussi et surtout dans l’humain. Les discours médiatiques ainsi que ceux des dirigeant·es des entreprises conséquentes de l’écosystème vont à l’opposée. Du côté de l’écosystème WordPress français, j’ai l’impression que le seul acteur de poids ayant compris le monde nouveau dans lequel on entre est WP Umbrella. Je suis ravi du fait que nous allons bosser avec eux, mais je me désole du manque de clairvoyance de notre écosystème sur la situation à laquelle nous allons faire face. C’est la merde, et faudra faire avec, les copains/copines.

Et oui, il faut beaucoup plus de régulation institutionnelle sur l’usage de l’IA. C’est nécessaire. L’Union Européenne doit être au cœur de ce sujet.

Bref, arrêtons de jouer les héros et de bombarder nos flux LinkedIn de posts bidons. En vrai on n’a pas de plan. On essaye juste d’anticiper au mieux.