Apprendre · Sécurité

Qu'est-ce que l'exécution de code à distance?

Illustration : Exécution de code à distance (RCE)

En termes simples, comme si tu avais 5 ansImagine un inconnu qui crie des ordres par ta fenêtre, et ton robot à la maison lui obéit comme si c'était toi qui parlais. L'exécution de code à distance, c'est ça : quelqu'un de très loin donne des ordres à l'ordinateur d'une autre personne, et l'ordinateur obéit.

La version un peu plus longue

Un serveur, c'est un ordinateur qui fait rouler un site Web. Il suit du code, c'est-à-dire une liste d'instructions écrites par ses propriétaires. L'exécution de code à distance (remote code execution, ou RCE), c'est ce que permet un certain type de bogue, une erreur dans un logiciel. Grâce à ce bogue, un attaquant peut envoyer ses propres instructions de n'importe où sur Internet et forcer le serveur à les exécuter. Pas besoin de mot de passe. Pas besoin d'être sur place non plus.

C'est pour ça que les gens en cybersécurité classent la RCE parmi les failles les plus dangereuses. Dès qu'un attaquant peut faire rouler son propre code, il peut souvent lire des données privées, modifier le site, cacher des outils pour revenir plus tard ou se servir du serveur pour attaquer d'autres machines. Un bogue qui laisse fuir un peu d'information, c'est grave. Un bogue de RCE, ça peut vouloir dire que l'attaquant prend le contrôle de la machine au complet.

Comment se déroule une attaque par exécution de code à distance

Un bogue cachéUn logiciel sur le serveur contient une erreur que personne n'a remarquée.
L'attaquant le trouveQuelqu'un découvre l'erreur, parfois avec l'aide d'outils d'IA.
Il envoie des données piégéesPar Internet, l'attaquant envoie au serveur des données fabriquées exprès.
Le serveur obéitÀ cause du bogue, le serveur exécute les instructions de l'attaquant comme si c'étaient les siennes.
L'attaquant prend le contrôleIl peut voler des données, modifier le site ou cacher des outils pour revenir plus tard.

Pourquoi c'est important

En octobre 2026, des outils d'IA d'OpenAI et de Wiz, chez Google, ont trouvé deux bogues de RCE critiques dans PHP. C'est un langage qui fait rouler une grosse partie du Web, dont WordPress et Wikipédia. Les numéros d'identification des bogues ont coulé. Selon Ars Technica, des pirates informatiques testaient déjà la faille quatre jours avant que les défenseurs soient avertis. Des sites comme DeviantArt et 4chan sont même tombés pendant un bout. Si tu as un site en PHP, même un petit blogue, c'est le genre de bogue où tu fais la mise à jour la journée même.

À surveiller

Les bogues étiquetés « RCE » ne sont pas tous faciles à exploiter dans la vraie vie. Souvent, ça dépend de la façon dont le serveur est configuré. Et les premiers rapports peuvent faire paraître le problème plus gros, ou plus petit, qu'il ne l'est vraiment. Ce qui inquiète le plus, c'est la vitesse. L'IA trouve maintenant ces failles plus vite que les humains, mais les attaquants s'en servent eux aussi. Et le système de correctifs a été pensé pour un monde beaucoup plus lent.

Où on en a parlé

Cette notion est apparue dans L'IA trouve les failles et crochète les serrures. Plus de leçons : Apprendre.

Sources

Écrit le 2026-10-29. Cette explication était exacte ce jour-là. L'IA change vite : vérifie les sources et la date avant de t'y fier.