L'argent n'est arrivé qu'après la crise. Après Heartbleed, une douzaine d'entreprises se sont chacune engagées à verser 100 000 $ par an pendant trois ans via la Core Infrastructure Initiative, et deux développeurs d'OpenSSL sont devenus salariés à plein temps.
Retour à la tendance du jour: Deux failles de PHP permettent de pirater des sites ; certains sont hors ligne par précaution
Classement Poly · tiré de la tendance du jour
Pires failles de sécurité d'Internet : Log4j, Heartbleed, PHP 2026
Avant Heartbleed, la bibliothèque de chiffrement derrière une grande part des serveurs HTTPS du web vivait d'environ 2 000 $ de dons par an. Sept ans plus tard, Log4Shell, noté 10 sur 10, était attaqué au moins huit jours avant son avis public.
- N° 1 : Log4Shell (Log4j, CVE-2021-44228)
- 10 places
01Liste finale
Les IA de pointe ont chacune dressé leur propre liste de dix, de façon indépendante. Voici un résultat facile à vérifier : chaque place a une raison, une source et la liste des IA qui l'ont retenue.
Ordre : du plus grand au plus faible accord entre les IA.
Une pastille vive signifie que cette IA a mis l'élément dans sa liste. Une pastille terne, qu'elle ne l'a pas fait.
- 1
Log4Shell (Log4j, CVE-2021-44228)
Note parfaite de 10,0, sans mot de passe nécessaire. Attaqué dès le 1er décembre 2021, huit jours avant l'avis. Mainteneurs bénévoles non rémunérés : selon les sources, 3 ou 16 volontaires.
L’ont inclus: Claude, Meta, Nemotron, Gemini. Ne l’ont pas inclus: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 1 · Meta: 1 · Nemotron: 6 · Gemini: 1
Ce qu'a noté chaque IA 4
- Claudeplace 1
Cloudflare a repéré une exploitation réussie dès le 1er décembre 2021, au moins neuf jours avant l'avis public. Le code était entretenu par une équipe de bénévoles que la fondation Apache ne rémunérait pas.
Source ↗ - Metaplace 1
Perfect 10.0 CVSS, 400k exploit attempts in 2 days, 30% still vulnerable after 60 days, fixed by 16 unpaid volunteers
Source ↗ - Nemotronplace 6
Duplicate entry; see rank 1.
Source ↗ - Geminiplace 1
A single line of text in a free logging package run by three unpaid volunteers exposed an estimated three billion devices across the world's largest cloud providers.
Source ↗
4 IA l’ont placé ici - 2
Heartbleed (OpenSSL, CVE-2014-0160)
Noté seulement 5,0 (v2) ou 7,5 (v3), mais il laissait fuir des clés privées. Environ 600 000 serveurs étaient vulnérables, et environ 300 000 l'étaient encore deux mois plus tard. OpenSSL fonctionnait avec environ 2 000 $ par an.
L’ont inclus: Claude, Meta, Nemotron, Gemini. Ne l’ont pas inclus: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 2 · Meta: 2 · Nemotron: 2 · Gemini: 2
Ce qu'a noté chaque IA 4
- Claudeplace 2
La CISA ne l'a inscrite sur sa liste des failles exploitées que le 4 mai 2022, huit ans après le correctif. Avant la crise, la fondation derrière OpenSSL n'avait, selon les informations, qu'un salarié à temps plein et environ 2 000 $ de dons par an.
Source ↗ - Metaplace 2
600k servers initially vulnerable, 309,197 still leaking memory after 2 months, OpenSSL had $2,000 yearly donations and 4 volunteers
Source ↗ - Nemotronplace 2
CVSS 7.5 but exposed private keys of ~17% of HTTPS sites; exploited within hours; patching took months for many; OpenSSL had ~4 core developers, <$1M/yr funding.
- Geminiplace 2
A cryptographic library protecting two-thirds of the world's encrypted web servers was kept alive on roughly $2,000 a year in donations by a single full-time maintainer.
4 IA l’ont placé ici - 3
Shellshock (GNU Bash, CVE-2014-6271)
Noté 10,0 (v2) et attaqué quelques heures après sa divulgation. Le bogue se trouvait dans un shell maintenu surtout par un seul mainteneur, Chet Ramey. La CISA ne l'a inscrit dans sa liste qu'en 2022.
L’ont inclus: Claude, Meta, Nemotron, Gemini. Ne l’ont pas inclus: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 3 · Meta: 4 · Nemotron: 4 · Gemini: 4
Ce qu'a noté chaque IA 4
- Claudeplace 3
Un bug dans l'interpréteur de commandes qui tourne derrière d'innombrables serveurs web a été attaqué quelques heures après sa divulgation, mais la CISA ne l'a listé qu'en janvier 2022.
- Metaplace 4
25-year-old bug since 1989 in Bash on every Linux and Mac, CVSS 10.0, first in-the-wild attacks within 24 hours
Source ↗ - Nemotronplace 4
CVSS 10.0 in Bash; unauthenticated RCE via environment variables; exploited within days; patching fragmented across Unix-like systems; Bash maintained by ~2 volunteers, minimal funding.
- Geminiplace 4
A silent command execution flaw lay dormant for 22 years in the default Unix shell that essentially one programmer had maintained since 1989.
4 IA l’ont placé ici - 4
PHP2Shell (PHP, CVE-2026-109618 et CVE-2026-109619)
Deux failles d'exécution de code à distance, sans authentification (9,2 sur v4.0 ; 9,8 sur v3.1 selon un rapport). Le fait que des attaques soient confirmées est contesté, et elles ne figuraient pas dans le catalogue des failles exploitées (KEV) de la CISA au 21 octobre.
L’ont inclus: Claude, Meta, Nemotron, Gemini. Ne l’ont pas inclus: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 4 · Meta: 3 · Nemotron: 3 · Gemini: 5
Ce qu'a noté chaque IA 4
- Claudeplace 4
Une information qui avait fuité a avancé le correctif d'un jour, et environ 884 000 hôtes annonçaient encore PHP 8.1 ou plus ancien, une branche qui ne reçoit plus de correctif officiel.
Source ↗ - Metaplace 3
69.3% of identifiable web sites run PHP, attacks started 4 days before fix, flaws leaked Oct 20 ahead of Oct 21 patch
Source ↗ - Nemotronplace 3
Two critical flaws (CVSS 9.8) in PHP's CGI mode allow unauthenticated RCE; attacks seen before patch; ~78% of web runs PHP; core team ~10 volunteers, ~$200k/yr.
Source ↗ - Geminiplace 5
A double memory corruption flaw in the engine powering over 75% of global websites forced emergency weekend patches and prompted government agencies across Europe to take portals offline.
4 IA l’ont placé ici - 5
Porte dérobée de XZ Utils (CVE-2024-3094)
Noté 10,0, mais il s'agissait d'une porte dérobée volontairement glissée, pas d'un bogue. Il a fallu deux ans pour gagner la confiance d'un seul mainteneur, et il a été repéré grâce à un ralentissement d'une demi-seconde de SSH avant le déploiement massif.
L’ont inclus: Claude, Meta, Gemini. Ne l’ont pas inclus: ChatGPT, Grok, Nemotron, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 5 · Meta: 5 · Gemini: 3
Ce qu'a noté chaque IA 3
- Claudeplace 5
Une prise de contrôle de plusieurs années, dans un projet dont un seul mainteneur s'occupait, a été repérée par hasard par un ingénieur avant d'atteindre la plupart des versions stables de Linux.
Source ↗ - Metaplace 5
Intentional backdoor after 2-year grooming of exhausted volunteer, CVSS 10.0, caught by 500ms SSH latency anomaly weeks before stable release
Source ↗ - Geminiplace 3
A multi-year covert operation targeted the psychological exhaustion of a lone, unpaid maintainer in Finland to plant a master key directly into Linux SSH logins.
Source ↗
3 IA l’ont placé ici - 6
Spring4Shell (Spring Framework, CVE-2022-22965)
Noté 9,8, avec un exploit public en moins de 24 heures, et la CISA l'a inscrit quatre jours après sa divulgation. Contrairement à la plupart des failles citées ici, le projet bénéficiait du soutien d'une entreprise, VMware.
L’ont inclus: Claude, Meta, Nemotron. Ne l’ont pas inclus: ChatGPT, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 9 · Meta: 8 · Nemotron: 7
Ce qu'a noté chaque IA 3
- Claudeplace 9
Surnommée le successeur de Log4Shell, elle a été inscrite sur la liste de la CISA le 4 avril 2022, avec un délai de 21 jours pour corriger.
Source ↗ - Metaplace 8
CVSS 9.8 RCE in Spring MVC/WebFlux on JDK 9+, exploit public within 24h, Spring powers millions of enterprise Java apps
Source ↗ - Nemotronplace 7
CVSS 9.8 in Spring Framework; unauthenticated RCE via data binding; exploited within days; widespread in enterprise Java; Spring team ~20 engineers, funded by VMware/Tanzu.
Source ↗
3 IA l’ont placé ici - 7
GHOST (glibc, CVE-2015-0235)
Un dépassement de tampon présent dans presque tous les systèmes Linux depuis 2000. Les IA lui donnent une note de 10,0 (v2), 9,8 ou 7,5, et le corriger obligeait à redémarrer chaque service réseau.
L’ont inclus: Meta, Nemotron, Gemini. Ne l’ont pas inclus: Claude, ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Meta: 7 · Nemotron: 10 · Gemini: 9
Ce qu'a noté chaque IA 3
- Metaplace 7
Heap overflow in gethostbyname since glibc 2.2 in 2000, CVSS 10.0, affects virtually every Linux system, patch lag 15 years
Source ↗ - Nemotronplace 10
CVSS 7.5 in glibc gethostbyname; unauthenticated RCE via DNS; exploited within days; patching across Linux distros fragmented; glibc maintained by ~10 volunteers, funded by Red Hat/others.
- Geminiplace 9
A buffer overflow in the core GNU C resolver function quietly underwrote almost every connected Linux application from 2000 until 2015.
3 IA l’ont placé ici - 8
Apache Struts / Equifax (CVE-2017-5638)
Du code d'exploitation est apparu le lendemain du correctif de mars 2017. Equifax a quand même perdu les données de 146,6 millions de personnes (une autre source parle de 147,9 millions) à cause d'un seul serveur non corrigé.
L’ont inclus: Claude, Meta. Ne l’ont pas inclus: ChatGPT, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 7 · Meta: 6
Ce qu'a noté chaque IA 2
- Claudeplace 7
Un correctif est sorti le 6 mars 2017, le code d'exploitation est apparu le lendemain, et Equifax a tout de même perdu les données de 146,6 millions de personnes.
Source ↗ - Metaplace 6
One unpatched Struts instance led to 147.9M people breached, patch available Mar 7 2017, exploited Mar 2017, Equifax breached May-July
Source ↗
2 IA l’ont placé ici - 9
React2Shell (React Server Components, CVE-2025-55182)
Noté 10,0 et ne nécessitait qu'une seule requête. Les adresses IP exposées dans les analyses de Shadowserver sont passées de 77 664 à plus de 137 200 en une semaine, et plus de 30 organisations ont été piratées (selon une source).
L’ont inclus: Claude. Ne l’ont pas inclus: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 6
Ce qu'a noté chaque IA 1
- Claudeplace 6
Une seule requête web forgée suffisait, et le nombre d'adresses IP exposées dans les analyses de Shadowserver est passé de 77 664 à plus de 137 200 en une semaine.
Source ↗
1 IA l’ont placé ici - 10
Injection d'arguments PHP-CGI (CVE-2024-4577)
L'urgence précédente de PHP. Un groupe de rançongiciel l'a exploitée environ 2 jours après les correctifs de juin 2024, et environ 250 000 serveurs PHP Windows étaient exposés (estimation d'un éditeur).
L’ont inclus: Claude. Ne l’ont pas inclus: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.Dans leurs listes: Claude: 8
Ce qu'a noté chaque IA 1
- Claudeplace 8
La conversion de caractères « best-fit » de Windows permettait à des inconnus d'exécuter du code, et un groupe de rançongiciels l'a exploitée quelques jours après les correctifs de juin 2024.
Source ↗
1 IA l’ont placé ici
02Bon à savoir
Ce que les IA ont remarqué en établissant la liste.
CISA a ajouté Heartbleed à sa liste des failles exploitées en mai 2022, huit ans après le correctif. Les dates du catalogue KEV indiquent quand la liste a été constituée, et non quand les attaques ont commencé.
La porte dérobée de XZ est passée de bogues accidentels à l'ingénierie sociale. Un individu a passé environ deux ans à gagner des droits de modification du code en « aidant » un unique mainteneur épuisé.
Le nombre de bénévoles qui ont fait vivre Log4j est contesté : 16 volontaires non rémunérés selon InfoWorld et Help Net Security, environ 3 selon d'autres réponses. Un an plus tard, le mainteneur Ralph Goers travaillait toujours dessus bénévolement, en parallèle de deux emplois à temps plein.
La part de PHP sur le web est donnée à 69,3% (W3Techs, 21 octobre 2026, sites dont le langage serveur est connu) et à 76–78% dans d'autres réponses. Dans les deux cas, une faille dans le cœur de PHP touche plus de sites qu'un bogue de WordPress ou de Drupal.
03Notre méthode
En mots simples, sans formules.
1La question
Top 10 des failles des fondations cachées d'internet, de Heartbleed à l'urgence PHP actuelle
2Pourquoi ce sujet
Il place les failles PHP actuelles sur la même ligne que Heartbleed, Shellshock et Log4Shell, et compare la vitesse d'attaque à la vitesse de correction, ce qu'aucune liste seule ne fait.
3Champ d'application
Mondial ; logiciels libres dont dépend une grande partie d'internet
4Ce que nous avons regardé
- Score de gravité, et possibilité pour un inconnu de prendre le contrôle sans mot de passe
- Nombre de jours entre l'annonce et les premières attaques confirmées
- Délai avant que la plupart des serveurs exposés ne soient corrigés dans le monde
- Taille et financement de l'équipe de bénévoles qui maintenait le logiciel
- NIST National Vulnerability Database (NVD) — Scores de gravité CVSS et indication si une faille peut être utilisée sans mot de passe
- Catalogue CISA des failles connues exploitées (KEV) — Attaques réelles confirmées, date d'inscription de chaque faille par la CISA et délai de correction imposé aux administrations fédérales
- Analyses de Shadowserver Foundation (rapportées par BleepingComputer) — Adresses IP exposées sur Internet qui utilisent encore du code vulnérable après un correctif
- Bilan de Censys sur Log4j — Part des hôtes Internet qui semblaient encore vulnérables à Log4Shell au fil du temps
5Qui a classé
Les IA de pointe : Claude, ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin. Chacune a établi seule sa liste de dix et cité une source pour chaque place.
6Comment les places ont été fixées
Un même élément formulé différemment par différentes IA a été compté une seule fois. Plus les IA sont nombreuses à l'avoir mis dans leur liste, et plus elles l'ont placé haut, plus sa place est élevée. « Accord des IA » indique combien d'IA l'avaient dans leur propre liste. Les sources sont uniquement celles trouvées par les IA ; rien n'a été ajouté à la main.
04La liste de chaque IA
🇺🇸 Claude10 places · 4 notes
La même question, à laquelle Claude a répondu seul. La liste finale ci-dessus combine toutes les IA.
- 1Log4Shell (Apache Log4j, CVE-2021-44228, 2021)
Cloudflare a repéré une exploitation réussie dès le 1er décembre 2021, au moins neuf jours avant l'avis public. Le code était entretenu par une équipe de bénévoles que la fondation Apache ne rémunérait pas.
Source ↗ - 2Heartbleed (OpenSSL, CVE-2014-0160, 2014)
La CISA ne l'a inscrite sur sa liste des failles exploitées que le 4 mai 2022, huit ans après le correctif. Avant la crise, la fondation derrière OpenSSL n'avait, selon les informations, qu'un salarié à temps plein et environ 2 000 $ de dons par an.
Source ↗ - 3Shellshock (GNU Bash, CVE-2014-6271, 2014)
Un bug dans l'interpréteur de commandes qui tourne derrière d'innombrables serveurs web a été attaqué quelques heures après sa divulgation, mais la CISA ne l'a listé qu'en janvier 2022.
- 4PHP2Shell (PHP, CVE-2026-109618 et CVE-2026-109619, octobre 2026)
Une information qui avait fuité a avancé le correctif d'un jour, et environ 884 000 hôtes annonçaient encore PHP 8.1 ou plus ancien, une branche qui ne reçoit plus de correctif officiel.
Source ↗ - 5Porte dérobée XZ Utils (CVE-2024-3094, 2024)
Une prise de contrôle de plusieurs années, dans un projet dont un seul mainteneur s'occupait, a été repérée par hasard par un ingénieur avant d'atteindre la plupart des versions stables de Linux.
Source ↗ - 6React2Shell (React Server Components, CVE-2025-55182, décembre 2025)
Une seule requête web forgée suffisait, et le nombre d'adresses IP exposées dans les analyses de Shadowserver est passé de 77 664 à plus de 137 200 en une semaine.
Source ↗ - 7Apache Struts / Equifax (CVE-2017-5638, 2017)
Un correctif est sorti le 6 mars 2017, le code d'exploitation est apparu le lendemain, et Equifax a tout de même perdu les données de 146,6 millions de personnes.
Source ↗ - 8Injection d'arguments dans PHP-CGI (CVE-2024-4577, 2024)
La conversion de caractères « best-fit » de Windows permettait à des inconnus d'exécuter du code, et un groupe de rançongiciels l'a exploitée quelques jours après les correctifs de juin 2024.
Source ↗ - 9Spring4Shell (Spring Framework, CVE-2022-22965, 2022)
Surnommée le successeur de Log4Shell, elle a été inscrite sur la liste de la CISA le 4 avril 2022, avec un délai de 21 jours pour corriger.
Source ↗ - 10Drupalgeddon2 (noyau de Drupal, CVE-2018-7600, 2018)
Une exécution de code à distance dans Drupal, encore ajoutée en novembre 2021 à la liste de la CISA des failles à corriger en priorité, plus de trois ans plus tard.
Source ↗
Ce que Claude a remarqué
En mai 2022, la CISA a ajouté Heartbleed à sa liste des failles exploitées, huit ans après la correction du bug. Les dates de cette liste reflètent le moment où elle a été constituée, pas celui où les attaques ont commencé. Elles sont donc un mauvais repère pour les failles de l'époque 2014.
La note de Heartbleed dans la base NVD n'était que de 5,0 (échelle CVSS v2), car l'ancienne méthode de calcul ne prenait en compte que l'impact sur la machine, alors que la faille exposait mots de passe et clés privées. Log4Shell a obtenu 10,0, et le projet qui le maintenait comptait 16 bénévoles non rémunérés.
L'argent est arrivé après la crise. Après Heartbleed, une douzaine d'entreprises se sont engagées, via la Core Infrastructure Initiative, à verser chacune 100 000 $ par an pendant trois ans, et deux développeurs d'OpenSSL sont devenus salariés à temps plein.
Un an après Log4Shell, Ralph Goers aurait encore deux emplois à temps plein, Log4j étant son travail non rémunéré (rapport en espagnol). Son nombre de sponsors sur GitHub est passé de 3 à 31.