Des sites web gouvernementaux dans plusieurs pays ont été déconnectés après la découverte de failles de sécurité graves ce mercredi.
Les développeurs du langage de programmation PHP, qui sert de base à une large partie de l’internet, ont identifié deux vulnérabilités critiques mardi. Ces failles rendaient les sites exposés à des intrusions informatiques.
Les responsables ont publié une mise à jour corrective pour résoudre ces problèmes et ont appelé les utilisateurs à mettre à jour leurs sites sans délai.
Par mesure de précaution, des administrations en Finlande, en France, au Danemark et aux Pays-Bas ont décidé de couper l’accès à leurs sites. Cette décision a été prise après des signalements indiquant que des acteurs malveillants exploitaient déjà ces faiblesses.
La société informatique danoise Kombit a déclaré que plusieurs services avaient été suspendus, y compris la plateforme nationale de communication scolaire. Aux Pays-Bas, les sites web de plusieurs hôpitaux et les plateformes des cinq principaux partis politiques ont été mis hors ligne.
Certains de ces sites sont déjà de nouveau accessibles.
Un porte-parole du gouvernement britannique a indiqué qu’un travail était en cours au sein des administrations pour identifier et corriger toute exposition potentielle.
Toutes les organisations, qu’elles soient privées ou publiques, de grande ou petite taille, ont reçu pour instruction de suivre les recommandations du NCSC, le centre national de cybersécurité britannique. Elles doivent évaluer leur niveau d’exposition et prendre les mesures nécessaires pour sécuriser leurs systèmes.
L’utilisation massive de PHP a suscité des craintes sur le fait qu’un nombre considérable de services et plateformes en ligne pourraient rester vulnérables à des cyberattaques.
L’entreprise de cybersécurité Huntress a souligné dans un billet de blog que « PHP est partout. Il fait tourner silencieusement les sites WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement mutualisé, les panneaux de contrôle, et beaucoup de logiciels qui n’indiquent même pas qu’ils utilisent PHP en arrière-plan. »
Dane Knecht, le directeur de la technologie de Cloudflare NET.N, a confirmé que des attaques émergeaient et que son entreprise mettait à jour les règles de son pare-feu comme mesure d’urgence.
Il a précisé sur le réseau social X que cette solution n’était que temporaire et a insisté pour que les utilisateurs appliquent le correctif dès sa publication par PHP.
Wordfence, un plugin de sécurité qui protège les sites WordPress, a rappelé que tous les sites WordPress fonctionnent sur un serveur où PHP est installé. Il a averti que les mises à jour automatiques ne suffiraient pas à appliquer le correctif et a conseillé aux propriétaires de sites d’identifier qui est responsable de la mise à jour de PHP sur leurs serveurs.
Les agences de cybersécurité en Europe, en Australie, au Japon et en Grande-Bretagne ont pressé les utilisateurs de PHP de mettre à jour immédiatement ou de déconnecter leurs sites jusqu’à l’application des correctifs. L’agence néerlandaise de cybersécurité a elle-même mis son site hors ligne, expliquant qu’il s’agissait d’une précaution face à ces vulnérabilités.
Les responsables ont indiqué que toutes les versions de PHP à partir de la version 5 pourraient être concernées, bien que PHP n’ait pas encore précisé quelles versions exactes sont vulnérables.
Qu’est-ce que PHP ?
PHP est un langage de programmation utilisé pour faire fonctionner les sites web. Quand un visiteur charge une page, un serveur qui utilise PHP assemble le contenu et l’envoie au navigateur. C’est un logiciel gratuit et open-source, maintenu par des bénévoles.
C’est aussi l’un des logiciels les plus utilisés sur internet. Selon le tracker de technologies web W3Techs, PHP fait tourner environ 75% des sites dont le langage de programmation peut être identifié. Il est le moteur de WordPress, qui propulse environ 43% de tous les sites web, qu’il s’agisse de blogs, de pages de petites entreprises, de portails gouvernementaux, de boutiques en ligne ou de sites d’actualités.
Automattic, la société derrière WordPress.com, a déclaré que son équipe était préparée et travaillait avec l’équipe de sécurité de PHP pour garantir une mise à jour fluide.
Les experts en sécurité ont expliqué que ces vulnérabilités pourraient potentiellement ouvrir la porte à des millions de serveurs, car un très grand nombre de sites web dépendent du même logiciel sous-jacent. Au lieu de cibler des victimes individuellement, les attaquants pourraient scanner internet à la recherche des systèmes qui utilisent des versions vulnérables de PHP.
Lukasz Olejnik, chercheur principal invité au King’s College de Londres, a déclaré que les campagnes de piratage assistées par l’intelligence artificielle, qui se sont multipliées ces dernières semaines, pourraient amplifier la menace.
« L’échelle est énorme », a-t-il dit. « Et avec l’IA, l’exploitation pourrait survenir instantanément et à grande échelle. »
Le risque est particulièrement élevé pour les petits sites gérés par des particuliers ou des organisations qui ont des ressources techniques limitées. Ces sites sont souvent hébergés sur des services mutualisés où les clients ne gèrent pas directement les serveurs sous-jacents. Les experts en sécurité ont précisé que ces sites pourraient mettre plus de temps à être corrigés et rester exposés longtemps après la publication des correctifs.
Aux Pays-Bas, plusieurs organisations ont suivi l’exemple du Centre national de cybersécurité et ont mis hors ligne leurs sites accessibles au public. Parmi elles se trouvent le port de Rotterdam, le portail gouvernemental Overheid.nl, l’association nationale de football KNVB, les sites des cinq plus grands partis politiques du pays et plusieurs sites d’hôpitaux.
En Finlande, les perturbations ont été encore plus étendues. Le fournisseur de services informatiques de l’État, Valtori, a indiqué que les services réseau publics du gouvernement avaient été déconnectés par mesure de précaution.
Le ministère français de l’Intérieur a déclaré qu’il avait temporairement mis hors ligne les sites web administratifs des collectivités locales en attendant un correctif de sécurité.
L’agence américaine de cybersécurité CISA n’a pas répondu aux demandes de commentaires.