Une vulnérabilité vieille de près de deux décennies vient d'être déterrée dans l'un des serveurs web les plus utilisés au monde. Et c'est une intelligence artificielle qui l'a trouvée.
Le 13 mai 2026, une annonce a secoué le monde de la cybersécurité : une faille critique, baptisée CVE-2026-42945 et surnommée "NGINX Rift", a été découverte dans NGINX, le célèbre serveur web open source. Ce qui rend cette découverte exceptionnelle ? Elle était cachée dans le code source depuis 2008 — soit 18 ans — et aucun expert humain ne l'avait jamais détectée.
NGINX : un pilier du web moderne
Pour comprendre l'ampleur du problème, il faut d'abord saisir l'importance de NGINX. Ce logiciel propulse aujourd'hui près d'un tiers des sites web les plus visités au monde. Banques en ligne, plateformes e-commerce, services cloud, applications critiques : NGINX est partout. Il est utilisé comme serveur web, mais aussi comme reverse proxy, répartiteur de charge et cache de contenu.
En d'autres termes, une faille dans NGINX, c'est une porte ouverte sur une partie considérable de l'infrastructure d'Internet.
Une faille de sévérité critique
La vulnérabilité CVE-2026-42945 a reçu un score CVSS de 9,2 sur 10, la plaçant dans la catégorie "critique". Elle affecte le module ngx_http_rewrite_module, un composant utilisé pour gérer les réécritures d'URL — une fonction très courante dans les configurations de serveurs.
Le problème ? Un buffer overflow (dépassement de tampon) qui peut être déclenché lorsqu'une configuration utilise conjointement les directives rewrite et set avec certaines expressions régulières PCRE. Dans des conditions précises, un attaquant non authentifié peut envoyer une simple requête HTTP malveillante et :
- Provoquer un déni de service (crash du processus worker)
- Ou pire : exécuter du code arbitraire sur le serveur
Autrement dit, prendre le contrôle total de la machine.
L'IA qui a tout changé
Ce qui rend cette découverte historique, c'est comment elle a été faite. La startup américaine DepthFirst AI a développé un système d'analyse autonome basé sur des modèles de langage avancés (LLM). En seulement six heures de scan, cet agent IA a identifié quatre vulnérabilités dans NGINX, dont cette faille critique qui avait échappé à des milliers d'audits de sécurité menés par des humains depuis près de deux décennies.
Les chercheurs de DepthFirst expliquent que l'IA a utilisé des techniques de pattern-matching avancé pour identifier des chemins d'exécution que les outils traditionnels et les revues manuelles de code n'avaient jamais détectés.
C'est un signal fort : l'IA ne se contente plus d'assister les experts en sécurité. Elle les surpasse désormais dans certains domaines.
Versions affectées et correctifs
La faille touche toutes les versions de NGINX comprises entre 0.6.27 et 1.30.0, soit quasiment toutes les versions modernes. Les produits commerciaux basés sur NGINX, comme NGINX Plus (développé par F5 Networks), sont également vulnérables.
Correctifs disponibles :
- NGINX open source : versions 1.31.0 (mainline) et 1.30.1 (stable)
- NGINX Plus : versions R36 P4, R32 P6 et 37.0.0
D'autres produits F5 utilisant NGINX (Nginx Instance Manager, F5 WAF, Nginx App Protect, etc.) sont impactés mais n'ont pas encore reçu de correctifs au moment de la publication.
Que faire immédiatement ?
Si vous utilisez NGINX sur vos serveurs, voici les actions à entreprendre sans attendre :
1. Mettre à jour en urgence
Ne pas attendre la prochaine fenêtre de maintenance prévue. Passez immédiatement à NGINX 1.31.0 (mainline) ou 1.30.1 (stable). Secure
2. Auditer les configurations
Si une mise à jour immédiate est impossible, examinez vos fichiers de configuration pour détecter toute combinaison de directives rewrite suivies de set impliquant la variable $args. Restructurer ou supprimer ces patterns bloque la condition de déclenchement. Secure
3. Surveiller les logs
Analysez les journaux d'accès pour détecter :
- Trafic inhabituel impliquant des réécritures d'URL
- Crashes répétés de processus worker
- Requêtes suspectes contenant des expressions régulières complexes
L'ère de l'IA en cybersécurité
Cette découverte marque un tournant. Si une faille critique peut rester invisible pendant 18 ans dans un projet aussi scruté que NGINX, qu'en est-il des milliers d'autres logiciels open source ou propriétaires sur lesquels repose notre infrastructure numérique ?
L'IA ne remplacera pas les experts en sécurité de sitôt, mais elle change radicalement les règles du jeu. Les équipes de sécurité devraient intégrer des agents de scanning pilotés par IA dans leurs protocoles de maintenance de routine immédiatement, car s'appuyer uniquement sur des checklists manuelles obsolètes laisse les infrastructures critiques exposées. Technosports
La course est lancée : ceux qui utilisent l'IA pour trouver les failles en premier auront l'avantage. Mais ceux qui ne s'adaptent pas risquent d'être les prochaines victimes.
Chez Elanci Digital, nous suivons de près ces évolutions pour sécuriser les sites web de nos clients. Si vous avez des questions sur la sécurité de votre infrastructure, n'hésitez pas à nous contacter.
Sources :
- F5 Security Advisory (CVE-2026-42945)
- DepthFirst AI Research
- BleepingComputer, CSO Online
