La sécurité du Budget de l’État prévu la semaine prochaine n’a pas été compromise par une faille critique identifiée dans un langage de programmation très répandu, a assuré un ministre. Le secrétaire d’État pour l’Écosse, Douglas Alexander, a répondu à une question sur les risques de fuites majeures liées à cette faille dans PHP, alors que le site web du Office for Budget Responsibility avait été temporairement retiré.
Cette interrogation survient après que les autorités de cybersécurité ont averti mercredi les organisations britanniques qu’une « faille de sécurité critique » avait été découverte dans le langage de programmation PHP, qui équipe près de 70% des sites web selon l’entreprise de cybersécurité Cloudflare.
M. Alexander a déclaré à Times Radio jeudi matin qu’il n’avait « absolument aucune indication d’un quelconque problème concernant une brèche dans la sécurité du Budget ». Il a ajouté que le chancelier de l’Échiquier, John Healey, avait instauré de nouveaux protocoles de sécurité en s’appuyant sur son expérience au ministère de la Défense.
L’année dernière, l’analyse budgétaire de l’OBR avait été publiée par erreur en ligne avant la déclaration de la chancelière de l’époque, Rachel Reeves, à la Chambre des communes, ce qui avait donné un accès anticipé à des informations sensibles pour les marchés.
Le National Cyber Security Centre a déjà exhorté les organisations à mettre à jour leur logiciel PHP vers une version corrigée, ou à envisager de mettre leurs sites web hors ligne si une mise à jour immédiate n’est pas possible.
La faille identifiée pourrait permettre à des attaquants de prendre le contrôle à distance de serveurs web qui utilisent PHP, un langage qui sert de fondation à des plateformes populaires comme WordPress et Magento.
De nombreuses tentatives d’exploitation de cette vulnérabilité ont été observées quelques heures seulement après son annonce, selon Amazon et Cloudflare.
Dans une mise à jour publiée sur le blog de sécurité d’Amazon Web Services, la société a indiqué que son équipe de renseignement sur les menaces avait constaté que la faille était « maintenant largement exploitée dans la nature ».
Le directeur général de Cloudflare, Matthew Prince, a déclaré jeudi que son entreprise avait détecté des centaines de milliers de tentatives de piratage dans les deux heures suivant l’annonce, et que des millions étaient en cours. Dans un message sur X, il a précisé que des milliers de tentatives d’exploitation avaient été repérées dans les dix heures précédant l’annonce publique, puis des dizaines de milliers dans les 45 minutes suivantes.
Les développeurs de PHP avaient initialement prévu une mise à jour de sécurité pour jeudi, mais sa publication a été avancée après que des détails des correctifs ont fuité en ligne.
Alan Woodward, professeur invité en informatique au Surrey Centre for Cyber Security, a expliqué sur BBC Radio 4 que « le chat était sorti du sac bien plus tôt que prévu ». Il a décrit la fenêtre critique entre la divulgation publique d’une faille et l’application du correctif, pendant laquelle les attaquants peuvent tenter de s’introduire. La comparaison entre la version originale et la version corrigée a rendu très facile l’identification du code à exploiter, et des entreprises comme Amazon et Cloudflare ont observé que cette faille était activement sondée sur le web.
Le Wall Street Journal avait précédemment rapporté que la faille avait été découverte en août par Ryan Austin, un chercheur de l’entreprise de cybersécurité Calif, qui utilisait un modèle d’IA avancé développé par OpenAI.
Le professeur Woodward a expliqué que des chercheurs humains avaient en réalité déjà identifié cette vulnérabilité en 2024, mais qu’ils avaient alors estimé que son exploitation serait « trop compliquée », et n’avaient rien fait. L’efficacité accrue des grands modèles de langage cette année a permis de comprendre comment l’exploiter, ce qui a déclenché une course au correctif la semaine dernière. La PHP Foundation a finalement publié un correctif mercredi après-midi, forçant tout le monde à se précipiter pour l’appliquer.