Une faille critique affectant 70 % des sites web a semé la panique dans le monde de la cybersécurité

Des détails ont été publiés concernant une faille critique dans le langage de programmation PHP, qui constitue la base de plus de 70 % des sites web . Sans correction, cette faille permettrait aux pirates informatiques de prendre facilement le contrôle de millions de sites web et des données hébergées sur leurs serveurs, les compromettant ainsi. En réponse, plusieurs gouvernements et opérateurs européens, dont le port de Rotterdam, ont mis des sites web hors ligne.

La Direction australienne des signaux , l’Agence américaine de cyberdéfense et des organismes similaires du Royaume-Uni, d’Europe et du Japon ont tous averti les développeurs Web d’appliquer d’urgence des mises à jour à leurs systèmes principaux et d’envisager de fermer les sites Web jusqu’à ce que la sécurité puisse être garantie.

L’organisation à l’origine de ce langage libre et open source a publié des mises à jour qui corrigent la faille, mais l’application de ces mises à jour aux millions de systèmes utilisant PHP prendra du temps.

Qu’est-ce que PHP ?

PHP est souvent qualifié de « colonne vertébrale du web ». C’est un langage de programmation – une façon de donner des instructions aux ordinateurs – qui existe depuis 1997 et qui permet aux sites web de gérer les entrées des utilisateurs et de traiter les informations en arrière-plan.

La force de PHP réside dans sa polyvalence. Les sites web l’utilisent pour tout, de la connexion des utilisateurs à leurs comptes et la gestion des boutiques en ligne, à l’extraction de données des bases de données et à l’alimentation de millions de sites de blog et d’actualités.

PHP s’exécute sur le serveur et non sur votre ordinateur. Cela signifie que la plupart d’entre nous interagissons quotidiennement avec PHP sans même le voir.

Chronologie des préoccupations

En août, des chercheurs en cybersécurité de la société Wiz ont utilisé leurs propres outils et les dernières versions des modèles d’IA Gemini de Google et ChatGPT d’OpenAI pour passer au crible l’immense base de code de PHP .

L’équipe Wiz recherchait des failles de programmation cachées qu’un attaquant pourrait exploiter pour prendre le contrôle d’un système exécutant PHP simplement en envoyant une requête soigneusement conçue via Internet.

En quelques jours, ils ont trouvé des moyens de s’introduire dans les systèmes PHP de Drupal et WordPress , qui sont utilisés sur une grande partie du web.

Wiz a contacté l’équipe de sécurité PHP pour les informer des failles découvertes. Fin septembre, les développeurs PHP ont confirmé l’existence du problème et ont discrètement commencé à travailler sur un correctif.

En cybersécurité, la meilleure chose à faire lorsqu’on découvre une faille est de la garder confidentielle jusqu’à la publication d’un correctif. En effet, sa divulgation publique pourrait fournir aux pirates informatiques des informations détaillées qu’ils pourraient exploiter.

Il semblerait que ce soit ce que les développeurs PHP avaient prévu. Cependant, hier, un utilisateur du site web spécialisé Hacker News a divulgué l’information concernant ces failles de sécurité avant même que des correctifs ne soient disponibles.

Suite à cette fuite, les développeurs de PHP se sont empressés de confirmer publiquement le problème le 21 octobre, en publiant des correctifs d’urgence en avance sur le calendrier prévu.

L’application des correctifs est loin d’être simple. Étant donné que PHP repose sur des milliers de plugins, de frameworks et de services d’hébergement gérés tiers, les sites web ne sont sécurisés que lorsque chaque couche de la chaîne d’approvisionnement intègre et déploie le correctif PHP.

Pourquoi cela se produit-il sans cesse ?

Une grande partie d’Internet repose sur des technologies fondamentales développées et maintenues par des développeurs amateurs. Nombre d’entre eux dépendent de la bonne volonté et des dons plutôt que de solides financements d’entreprises.

Bon nombre de ces outils ont été développés il y a plusieurs décennies. Ils n’ont jamais été conçus pour garantir la sécurité des données dans un monde où des millions de sites web et des milliards d’appareils les utilisent pour traiter des données sensibles et privées.

Ce problème est aggravé par le fait que la maintenance est rarement une priorité pour les organisations . Trop souvent, les entreprises ne possèdent que des connaissances très sommaires sur l’ensemble de leurs chaînes d’approvisionnement, qu’elles soient physiques ou numériques .

Même dans des affaires très médiatisées comme celle-ci, de nombreuses entreprises ne réalisent même pas de quels logiciels elles dépendent, et encore moins à quel point ils sont réellement sécurisés.

Que devez-vous faire ?

Ce problème concerne principalement les personnes qui gèrent des sites web ou des infrastructures techniques. Pour elles, la priorité est claire : appliquer les correctifs dès leur disponibilité et envisager de déconnecter les systèmes critiques d’Internet jusqu’à ce que leur sécurité soit pleinement assurée.

Pour les internautes lambda, ces failles de sécurité affectent les serveurs hébergeant les sites web et non leurs appareils personnels. Cependant, comme certains sites peuvent être temporairement compromis avant la mise à jour des correctifs, il est conseillé de faire preuve de prudence et d’éviter de saisir des données personnelles sensibles sur des sites web inconnus au cours des prochains jours.

Les principaux fournisseurs de services cloud et les entreprises de sécurité déploient des filtres d’urgence, mais la course mondiale pour sécuriser le web ne fait que commencer.

Les équipes de cybersécurité du monde entier s’efforcent de limiter les dégâts. Mais l’ampleur du problème devrait servir d’avertissement.

Les gouvernements et les entreprises ne peuvent ignorer la résilience de leurs chaînes d’approvisionnement numériques. De même que les fabricants suivent les fournisseurs des composants physiques dont ils dépendent, nous devons nous attendre à ce que l’infrastructure numérique trace également chaque système et cadre dont elle s’appuie.

La collecte de ces informations est la première étape pour que les entreprises et les gouvernements comprennent véritablement à quel point leur viabilité numérique repose sur des logiciels libres sous-financés et maintenus par des bénévoles. Tant que les entreprises ne considéreront pas le financement des outils fondamentaux open source comme un investissement crucial en matière de sécurité plutôt que comme une œuvre de charité, ces vulnérabilités persisteront.

Andrew Cullen

Chercheur invité, École d’informatique et de systèmes d’information, Université de Melbourne