Le vendredi 23 octobre, de nombreux sites français affichent encore le message « Site en maintenance ». Si la Cnil a résolu le problème, celui de la préfecture de la Seine-Saint-Denis est toujours inaccessible. Ces interruptions résultent de deux failles jugées particulièrement critiques dans PHP, un projet dont le support concerne environ 70 % des sites web du monde, selon une estimation qui fait consensus.
Baptisées PHP2Shell, ces deux failles ont été corrigées, mais en attendant la mise à jour, les experts en cybersécurité recommandent de couper le service plutôt que de rester exposé. Le Cert Santé le résume d’une formule simple : « Seule la mise à jour est sûre ». Sur le réseau social LinkedIn, un ancien cadre d’une des agences du Secrétariat général de la défense et de la sécurité nationale (SGDSN) résume lui aussi la situation d’un « Quelle journée » lancé avec lassitude.
Problèmes en cascade
Les difficultés s’accumulent parfois. Un ingénieur réseau fait remarquer qu’il est « compliqué de se connecter à son hébergeur quand la double authentification est activée par SMS », en référence à une panne de réseau mobile chez Orange. L’opérateur évoque de son côté un « incident lié à une défaillance d’un équipement au niveau de notre cœur de réseau mobile ».
La divulgation de ces vulnérabilités a également dérapé, comme l’a signalé Amazon. Le géant américain indique avoir repéré une tentative d’exploitation quatre jours avant la publication des correctifs, et d’autres quelques heures avant la levée de l’embargo. Selon l’entreprise, « le délai entre la publication d’un correctif et l’exploitation d’une faille se réduit pour des raisons structurelles ». L’intelligence artificielle y contribue : il serait désormais possible de transformer un avis de sécurité et un correctif en un exploit fonctionnel en « quelques heures, voire quelques minutes ».
Le décompte des services vulnérables
Le patron de l’Anssi, Vincent Strubel, nuance toutefois le rôle de l’IA : « l’IA n’est a priori pour rien dans le caractère chaotique de l’alerte qui prend tout le monde au dépourvu ». Si c’est un outil fondé sur l’intelligence artificielle qui a permis de repérer ces failles dans PHP, que personne n’avait vues, il semblerait que le désordre tienne surtout à « un bon vieux quiproquo » sur le calendrier de divulgation.
D’après le décompte de Censys, société qui a mis en place une page de suivi de la faille, 34 millions de services PHP restaient vulnérables lors du dernier scan, et près de 7 millions auraient déjà été mis à jour. Plus de 2 millions de services PHP seraient toujours vulnérables en France, ce qui en ferait le troisième pays le plus concerné. Près de 290 000 instances ont été mises à jour dans le pays pour l’instant.
Product offers are temporarily unavailable.
