Des gouvernements en Europe, en Asie et ailleurs ont mis hors ligne certains sites web mercredi, après que deux failles de sécurité nouvellement révélées dans PHP, un langage de programmation qui alimente une grande partie d'internet, ont poussé l'Agence de sécurité nationale américaine (National Security Agency) à lancer un avertissement public rare.4,5
Les failles, baptisées PHP2Shell, ont été découvertes avec l'aide de modèles d'intelligence artificielle, selon Al Jazeera. Toutes deux reposent sur l'accès à des parties de la mémoire informatique sans autorisation, et exploitent cet accès pour exécuter du code malveillant. Al Jazeera a rapporté qu'un attaquant pouvait exécuter à distance des commandes sur un serveur faisant tourner un ancien code PHP via internet, sans mot de passe ni compte légitime. La PHP Foundation, une organisation à but non lucratif qui soutient le langage, a publié un correctif pour les dernières versions mercredi après-midi.4,5
La NSA a conseillé aux organisations de mettre leurs systèmes hors ligne si elles ne pouvaient pas installer la mise à jour immédiatement. « Dès maintenant, toutes les organisations utilisant PHP pour leurs systèmes sont invitées à se préparer à une mise à jour corrigeant deux vulnérabilités critiques », a déclaré l'agence dans une publication sur les réseaux sociaux. Dans une autre publication, elle a écrit : « Ces vulnérabilités offrent souvent un accès direct au système de fichiers ou à la base de données du serveur », selon la BBC.4,5
Plusieurs gouvernements européens ont agi rapidement. La Finlande a temporairement fermé les services web publics de son gouvernement, et le ministère fédéral allemand de la Transformation numérique et de la Modernisation gouvernementale (Federal Ministry for Digital Transformation and Government Modernisation) a indiqué avoir mis hors ligne certains sites à titre préventif. Le ministère de l'Intérieur français a désactivé les sites officiels des services administratifs locaux. Les autorités belges, néerlandaises et tchèques ont également déclaré avoir fermé des sites pour appliquer un correctif de sécurité. L'Institut national de la santé publique et de l'environnement des Pays-Bas (National Institute for Public Health and the Environment) a retiré son site web, et celui de la Tweede Kamer, la chambre basse du Parlement néerlandais, est devenu inaccessible.4,5
La perturbation a dépassé le cadre gouvernemental. La Wikimedia Foundation, qui gère Wikipédia (Wikipedia), a indiqué qu'elle travaillait à corriger les vulnérabilités. « Nous avons mis hors ligne plusieurs autres systèmes par mesure de précaution, jusqu'à ce qu'ils puissent être corrigés en toute sécurité », a-t-elle déclaré, et certains utilisateurs n'ont pas pu accéder à certaines parties de Wikipédia mercredi. Le site du conseil municipal d'Édimbourg (Edinburgh Council) est également devenu inaccessible, tout comme les sites en ligne de plusieurs émissions de la BBC, dont Doctor Who et The Traitors. Selon la BBC, aucune de ces entités n'avait confirmé de lien avec PHP, et la BBC les avait sollicitées pour un commentaire. La plateforme artistique DeviantArt a indiqué être « temporairement indisponible pour maintenance » sans donner de raison.4
Les vulnérabilités ont été découvertes par des chercheurs des sociétés de sécurité Calif et Wiz. Calif, qui a participé avec la PHP Foundation à un programme lancé par OpenAI appelé Patch the Planet, a obtenu un accès aux outils d'IA avancés de l'entreprise pour trouver et corriger des failles dans les langages de développement web. Al Jazeera a rapporté que Calif, en collaboration avec OpenAI, avait signalé la première faille le 11 août, et que Wiz, une société de sécurité détenue par Alphabet, avait signalé la seconde le 24 août. OpenAI a déclaré dans un article de blog que cette découverte était « l'un des problèmes de sécurité les plus marquants de ces dernières années », et la BBC a rapporté qu'un chercheur interne d'OpenAI avait également découvert le problème à peu près au même moment que les autres sociétés.4,5
Wiz a déclaré que les failles étaient « les vulnérabilités les plus graves jamais découvertes » par l'IA, et a décrit le rôle des outils d'IA dans son propre article de blog. « Les modèles de pointe ont été déterminants pour rendre ce processus concret, en nous permettant de développer et d'adapter des exploits fonctionnels pour plusieurs applications en quelques heures », a déclaré l'entreprise. Wiz a affirmé que les découvertes « figurent parmi les vulnérabilités les plus graves jamais trouvées dans PHP, et sans doute dans l'histoire du logiciel ». Selon la BBC, les failles étaient passées inaperçues pendant plus d'une décennie, tandis qu'Al Jazeera a indiqué que les faiblesses sous-jacentes existaient depuis des décennies.4,5
Les estimations de l'ampleur du problème diffèrent selon les rapports. Selon la BBC, Wiz a estimé que « environ 70 % » d'internet est touché, un chiffre que la BBC n'a pas pu vérifier. Al Jazeera a indiqué que PHP est utilisé par plus de 70 % des sites web. Aucun des deux rapports ne fournit de décompte indépendant du nombre de sites utilisant des versions vulnérables du logiciel.4,5
Des détails sur les failles ont fuité sur les réseaux sociaux mardi, selon la BBC, ce qui a obligé la PHP Foundation à précipiter l'annonce des vulnérabilités et de leur ampleur. La fondation avait prévu de publier ses conclusions plus tard ce mois-ci, accompagnées d'un correctif complet. Toutes les versions ne sont pas connues pour être touchées. CERT-EU, l'équipe d'intervention d'urgence informatique de l'Union européenne (European Union), a indiqué que les failles pourraient affecter toutes les versions de PHP remontant à PHP 5, lancée en 2004. La PHP Foundation n'a publié la mise à jour que pour les dernières versions, et les utilisateurs de PHP 8.1 ou d'une version antérieure sont invités à effectuer une mise à niveau.4
Des chercheurs en sécurité ont décrit le risque en termes plus larges. Dane Knecht, directeur technique de la société d'infrastructure internet Cloudflare, a déclaré « observer les premières attaques qui émergent et mettre à jour les mesures d'atténuation à mesure que de nouveaux vecteurs apparaissent ». CERT-EU a indiqué que les scores de risque attribués aux vulnérabilités « indiquent un potentiel d'exécution de code distant non authentifié ». Don Smith, de la Sophos Counter Threat Unit, a déclaré à la BBC que PHP serait « probablement une cible prioritaire » pour les pirates, ajoutant que le défi immédiat était de localiser chaque instance où PHP fonctionnait. « L'utilisation de PHP est omniprésente : il peut se trouver sous des sites web publics, des systèmes de gestion de contenu, des plateformes d'hébergement et des produits tiers, parfois sans même que l'organisation qui l'utilise s'en rende compte », a-t-il déclaré.4
La Maison-Blanche (White House) a déclaré que les agences fédérales travaillaient avec les principaux laboratoires d'IA pour accélérer la correction. La Première ministre japonaise Sanae Takaichi a exhorté les gens à vérifier si leurs sites web accessibles au public fonctionnaient sous PHP. Le Centre national de cybersécurité du Royaume-Uni (National Cyber Security Centre), ainsi que ses homologues de l'UE et d'Australie, a demandé à ceux qui utilisent PHP d'appliquer les correctifs. « Lorsqu'une remédiation immédiate n'est pas possible, les organisations devraient envisager de mettre le système hors ligne jusqu'à ce qu'il puisse être entièrement sécurisé », a indiqué le NCSC dans une note.4,5
La PHP Foundation a déclaré que les outils d'IA rendraient ces failles plus faciles à trouver, et elle a appelé les entreprises technologiques à organiser une réponse coordonnée pour éviter une perturbation majeure des services en ligne. « Les outils trouvent désormais des bogues plus vite que jamais, aussi bien pour les défenseurs que pour les attaquants, et le nombre de signalements ne cessera d'augmenter », a déclaré la fondation dans un communiqué.5
