Les autorités de cybersécurité du Royaume-Uni ont averti les organisations que leurs sites internet pourraient devoir être désactivés. Cet avertissement fait suite à la découverte d’une vulnérabilité critique dans un langage de programmation, une découverte réalisée par un chercheur qui utilisait une intelligence artificielle.
Le site du gouvernement finlandais a été partiellement désactivé mercredi à cause de cet incident, de même que les sites de plusieurs collectivités locales britanniques.
Parmi les organisations concernées figurent le conseil municipal d’Oxford et celui de la ville d’Édimbourg. Certaines pages de programmes de la BBC sont également devenues inaccessibles.
L’Office for Budget Responsibility a déclaré avoir suivi les recommandations pour mettre son site hors ligne, « en raison des problèmes de sécurité critiques affectant PHP ».
Certains services en ligne du gouvernement pourraient être temporairement indisponibles le temps que des mesures de sécurité soient mises en place, mais l’impact devrait rester minime. Aucun service public essentiel n’aurait été touché.
La faille de sécurité identifiée par le chercheur pourrait permettre à des attaquants de prendre le contrôle à distance des serveurs web qui utilisent le langage de programmation PHP. Ce langage est utilisé par près de 70% des sites internet selon la société de cybersécurité Cloudflare. Il sert de base à des plateformes populaires comme WordPress et Magento.
Selon le PDG de Cloudflare, Matthew Prince, les tentatives d’exploitation de cette faille ont connu une augmentation spectaculaire après son annonce publique. Il a déclaré sur le réseau social X qu’avant l’annonce, son réseau avait observé quelques milliers de tentatives d’exploitation en dix heures. Ce nombre est passé à plusieurs dizaines de milliers dans les 45 minutes qui ont suivi l’annonce, puis à des centaines de milliers en deux heures, pour atteindre plusieurs millions actuellement.
Le National Cyber Security Centre a exhorté les organisations à mettre à jour leur logiciel avec la version corrigée. Si la mise à jour ne peut pas être effectuée immédiatement, l’agence recommande de prendre en compte la désactivation des sites concernés.
Un porte-parole du gouvernement a indiqué que des travaux étaient déjà en cours pour identifier et corriger toute exposition potentielle au sein de l’administration. Il a encouragé toutes les organisations, privées et publiques, à suivre les directives du NCSC pour évaluer leur vulnérabilité et prendre les mesures nécessaires pour sécuriser leurs systèmes.
La division cyber de la National Security Agency américaine a averti que cette faille logicielle pourrait offrir « un chemin direct vers le système de fichiers ou la base de données du serveur ».
Selon le Wall Street Journal, la faille a été découverte en août par Ryan Austin, un chercheur de la société de cybersécurité Calif, qui a utilisé un modèle d’intelligence artificielle avancé développé par OpenAI.
Les développeurs de PHP avaient initialement prévu une mise à jour de sécurité pour jeudi, mais sa publication a été avancée après que des détails sur les correctifs ont fuité en ligne.
OpenAI, la société derrière ChatGPT, a déclaré qu’au cours des deux derniers mois, elle avait dirigé une équipe de chercheurs travaillant à corriger cette faille critique dans PHP et qu’elle avait soutenu ses développeurs dans cette tâche.
L’entreprise a qualifié cet incident de « l’un des problèmes de sécurité les plus importants de ces dernières années ». Elle a ajouté que si l’IA pouvait aider à découvrir des failles, elle pouvait aussi aider les attaquants. Selon elle, cette technologie a permis de détecter ces vulnérabilités avant les pirates, donnant ainsi un avantage aux défenseurs pour préparer des correctifs avant la divulgation publique.
L’ancien directeur du NCSC, Ciaran Martin, a déclaré à Times Radio que ces vulnérabilités dans PHP pouvaient entraîner une fuite massive de données personnelles. Il a expliqué qu’il s’agissait potentiellement de détails de cartes bancaires, y compris les trois chiffres au dos, ce qui pourrait alimenter de futures escroqueries. Il a aussi indiqué que cette faille pouvait servir de point d’entrée pour des attaquants cherchant à déployer des rançongiciels, ou faciliter l’usurpation d’identité de dirigeants d’entreprise, ce qui amplifierait considérablement les risques de fraude et d’escroquerie.