Failles PHP : pourquoi de nombreux sites ont soudainement été mis « en maintenance »

Cet article vous est offert

Pour lire gratuitement cet article réservé aux abonnés, connectez-vous.

Se connecter

Vous n’êtes pas inscrit sur Le Monde ?
Inscrivez-vous gratuitement

• Pixels Pixels
• Sécurité informatique Sécurité informatique Sécurité informatique

Le langage de programmation PHP, massivement utilisé dans le monde, a fait l’objet de correctifs en urgence, mercredi 21 octobre, après la découverte de deux vulnérabilités. De nombreux sites Web ont été mis hors ligne par précaution, afin d’éviter des attaques.

Sites officiels des préfectures, de la Commission nationale de l’informatique et des libertés (la CNIL, l’autorité de protection des données), ou de certains titres de presse, forums comme 4Chan… De nombreux sites Internet ont été mis temporairement hors ligne par leurs administrateurs, mercredi 21 octobre, afin de se prémunir de potentielles attaques. La faute à deux failles informatiques détectées dans un langage de programmation, PHP, très utilisé à travers le monde.

Les développeurs de ce dernier, qui sert principalement à produire des pages Internet dynamiques, ont en effet annoncé la veille qu’ils allaient publier en urgence des correctifs, mercredi à 16 heures.

Cela a conduit de nombreuses entités officielles en charge de la cybersécurité, comme l’équipe européenne d’intervention en cas d’urgence informatique (CERT-EU), le Centre britannique pour la cybersécurité (NCSC) ou le Centre australien de cybersécurité (ACSC), à exhorter les organisations incapables d’appliquer ces correctifs à mettre ​préventivement hors ligne les sites Web concernés, afin de se protéger contre les activités malveillantes.

« A la demande de l’Agence nationale de la sécurité des systèmes d’information, le ministère de l’intérieur a procédé à la mise en maintenance préventive de l’ensemble de ses sites Internet exposés à une vulnérabilité critique de sécurité, a déclaré mercredi le ministère de l’intérieur. Les équipes sont mobilisées pour procéder aux opérations de mise à jour dans les meilleurs délais, dès que le correctif de sécurité sera rendu disponible par l’éditeur. Les publications des préfectures seront faites sur les réseaux sociaux et par voie d’affichage. »

Un outil « omniprésent » sur le Web

« PHP est omniprésent. Il fait discrètement fonctionner les sites WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement mutualisé, les panneaux de contrôle et une multitude de logiciels qui ⁠ne mentionnent même pas qu’ils utilisent PHP en arrière-plan », détaille la société de cybersécurité Huntress, dans un article de blog publié mercredi. PHP a expliqué que ces deux vulnérabilités ⁠avaient reçu une ‌note de 9,2 sur l’échelle de gravité CVSS v4.0, qui compte 10 échelons, et a encouragé les utilisateurs ​à « effectuer la mise à jour dès que celle-ci sera disponible ». Les correctifs ont été publiés peu avant 16 heures, sur le site officiel de PHP.

D’après le Wall Street Journal, c’est l’usage d’outils d’intelligence artificielle (IA) de pointe qui, dès le mois d’août, a permis la découverte de ces vulnérabilités. La mise en place d’un correctif avait été fixée au jeudi 22 octobre mais un post les révélant, publié deux jours avant sur le site spécialisé Hacker News, a précipité le déploiement.

Dane Knecht, directeur technique de ‌la société de sécurité Web et cloud ‌Cloudflare, a observé dans un message, publié mercredi sur le réseau social X, que des attaques exploitant ces vulnérabilités commençaient déjà à apparaître. Concrètement, ces failles peuvent permettre à des pirates d’exécuter du code sur les serveurs concernés, ce qui pourrait entraîner le vol de données, le défaçage de sites web ou la compromission totale du système, a détaillé mardi le fournisseur d’hébergement web GoDaddy dans une note de blog.

Le Monde avec Reuters