De premières cyberattaques exploitant les failles PHP ont été repérées, le gouvernement américain sonne l’alarme

Des rapports préliminaires ont fait état de tentatives d’intrusion exploitant les failles de ce code informatique essentiel à l’internet mondial, alors que le patron de Cloudflare a annoncé que plusieurs «millions» de tentatives d’intrusion avaient déjà été décomptées.

Alerte rouge pour le web. L’agence américaine de cybersécurité CISA a annoncé ce mardi 27 octobre que des pirates exploitaient déjà activement les deux failles repérées au sein du PHP, qui a contraint une bonne partie du web mondial à fermer le rideau le temps de déployer des correctifs la semaine dernière. Ces vulnérabilités «constituent un vecteur d’attaque fréquent pour les cyberacteurs malveillants et représentent des risques importants pour l’administration fédérale», a-t-elle écrit un communiqué. La CISA n’a pas précisé le type d’attaques précis, ni quels étaient ces «cyberacteurs malveillants», bien que certaines tentatives ont d’ores et déjà été documentées.

Mercredi 21 octobre, le site des impôts français, celui de la préfecture de Police, de Météo-France, de la CNIL, mais aussi de la chambre des représentants aux Pays-Bas, du ministère des Affaires étrangères belge, ou du gouvernement finlandais, entre de nombreux autres, ont dû temporairement être désactivés en raison de la découverte de deux importantes vulnérabilités au sein du PHP, ce langage de programmation utilisé par 70% du web mondial.

Passer la publicité

Pour rappel, le code PHP permet de faire communiquer un site web avec le serveur qui l’héberge. Lorsque l’on tape l’adresse d’un site sur Google Chrome, Mozilla Firefox ou Microsoft Edge, par exemple, le navigateur web va solliciter le serveur hébergeant le site. Ce serveur va exécuter le code PHP associé à la page recherchée. Ce code PHP abrite les informations de la page web, à savoir son titre, le texte en son sein, la date de publication, la photo d’illustration… Le PHP est donc essentiel.

«Dilemme» au sein des entreprises obsolètes

Les failles en son sein, qui étaient présentes depuis une dizaine d’années sans que personne ne les ait repérées, ont été découvertes dans le plus grand secret durant le mois d’août, par un consortium de chercheurs issus des entreprises Calif, Wiz et OpenAI. Elles ont été retracées grâce à l’intelligence artificielle, qui excelle dans le domaine de la cybersécurité… et du hacking. «À mesure que l’intelligence artificielle facilite le développement et l’adaptation d’exploits complexes, des failles jusqu’alors réputées trop difficiles à exploiter deviennent des cibles accessibles aux attaquants», commentait par ailleurs Wiz, soulignant qu’il n’était qu’une question de temps avant que des pirates maniant l’IA ne découvrent ces failles.

En conséquence, un correctif a été développé en urgence, puis mis en ligne le 21 octobre pour que tous les propriétaires de site web du monde puissent l’installer afin de rester hors d’atteinte. Or, comme le précisait au Figaro Nans Marcoux, expert en cybersécurité spécialisé sur les technologies d’IA, «certains sites fonctionnent avec des versions de logiciels qui ne sont plus maintenues. Pour eux, le correctif sera inopérant pour les protéger: la seule solution est de migrer vers une version plus récente». Auquel cas, «le dilemme sera simple: installer une mise à jour qui coûte de l’argent et peut perturber le système, ou attendre en priant pour que rien ne se passe». Les entreprises et particuliers n’appliquant pas les correctifs risquent gros, puisque les pirates exploitant ces vulnérabilités pourraient prendre le contrôle de leur site, le supprimer, voler des informations d’utilisateurs, et même étendre son attaque à d’autres sites partageant des ressources avec la cible initiale.

Plusieurs cyberattaques repérées

L’alerte du CISA est déjà inquiétante, mais elle s’accompagne de plusieurs rapports préliminaires faisant état de tentatives d’intrusion exploitant les failles PHP. Une première activité malveillante a ainsi été détectée par Adel Karimi, responsable de la détection et de la réponse chez l’entreprise américaine Perplexity. «Une exécution de code à distance a été confirmée», a-t-il écrit sur X le 24 octobre, faisant état d’une attaque ayant provoqué une fuite de données au sein d’un serveur. «De nouvelles tentatives ont (depuis) été confirmées depuis la même adresse IP, ainsi que depuis une autre IP utilisant une charge utile différente, potentiellement associée à un autre acteur. Les attaques sont désormais observées dans plusieurs régions du monde», a ajouté plus tard Adel Karimi.

En parallèle, un développeur a lancé StealMyBitcoin.com, un site témoin n’ayant pas appliqué les correctifs liés aux failles PHP. L’objectif? Proposer une récompense en bitcoin à quiconque exploitera les deux vulnérabilités pour récupérer une clé privée cachée sur le serveur du site. Le défi a été remporté le 25 octobre par un chercheur répondant au pseudonyme de KillaBoi, qui s’est vu remettre 2000 dollars.

Passer la publicité

De son côté, le service de renseignement sur les menaces d’Amazon Web Services a prévenu, dans un récent billet, que de premières tentatives d’exploitation de failles PHP avaient été repérées dès le 17 octobre dernier, soit quatre jours avant la divulgation publique des vulnérabilités. Selon le service, plusieurs acteurs pourraient être impliqués, preuve que l’information circulait déjà dans les sphères cybercriminelles. Les failles sont bien parties pour être de plus en plus exploitées: «Dans les 10 heures précédant son annonce publique, nous avons observé des milliers de tentatives d’exploitation», a écrit sur X le patron de Cloudflare, Matthew Prince, le 22 octobre. «Ce nombre a bondi à des dizaines de milliers en 45 minutes après l’annonce, des centaines de milliers en deux heures, et maintenant des millions».