Des milliers de sites ont été mis hors ligne mercredi pour éviter des cyberattaques massives après la découverte de failles critiques dans le langage PHP. Un incident qui rappelle la vulnérabilité des infrastructures numériques.
Des milliers de sites mis hors ligne à titre de précaution. L’Internet mondial a connu une journée noire mercredi. Ce jeudi matin, des sites gouvernementaux sont toujours inaccessibles. La raison tient en trois lettres : PHP. Ce langage de programmation, l’un des plus utilisés sur Internet, s’est retrouvé exposé à de potentielles cyberattaques après la découverte de deux failles critiques de sécurité. Explications.
· Qu’est-ce que PHP ?
Il s’agit d’un langage de script open source peu connu du grand public, créé en 1994 par Rasmus Lerdorf, un programmateur groenlandais et canadien. Il est principalement utilisé côté serveur pour réaliser des pages web dynamiques. Ainsi, contrairement à une page statique qui affiche toujours le même contenu, le code PHP permet d’actualiser la page web en fonction des données disponibles sur l’internaute ou simplement de ses requêtes.
Le langage PHP (à l’origine l’abréviation de « Personal Home Page » devenue ensuite « PHP Hypertext Preprocessor ») opérant en arrière-plan, l’utilisateur ne voit donc que le résultat. Il permet d’instaurer une passerelle entre un site Internet et un serveur abritant des bases de données. L’une de ses forces est d’être adossé au serveur plutôt qu’au navigateur, ce qui rend la vitesse de chargement et de navigation plus rapide.
· Pourquoi a-t-il fait vaciller l’Internet mondial ?
Car il est partout. Gratuit, compatible avec tous les principaux systèmes d’exploitation et relativement simple à apprendre, PHP s’est imposé comme l’un des langages de programmation les plus utilisés.
Selon W3Techs, un observatoire des technologies web, PHP fait fonctionner 69,3 % de tous les sites web dont le langage de programmation peut être identifié. C’est ainsi de loin le langage côté serveur le plus utilisé, le deuxième, JavaScript, ne comptabilisant que 8,1 % de part de marché.
PHP est omniprésent même s’il n’est pas très visible. « Il fait discrètement fonctionner les sites WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement mutualisé, les panneaux de contrôle et une multitude de logiciels qui ne mentionnent même pas qu’ils utilisent PHP en arrière-plan », explique la société de cybersécurité Huntress dans un article de blog.
Le spécialiste de la cybersécurité Palo Alto Networks a indiqué mercredi avoir identifié 22 millions de plateformes exposées à ces vulnérabilités à travers le monde. En France, plus de 600.000 serveurs utilisent ce protocole de programmation, a précisé l’Anssi, l’Agence nationale de la sécurité des systèmes d’information.
· Quels sont les risques liés aux failles découvertes ?
Les deux failles décelées ouvrent la porte à des montagnes de données. Un hacker peut prendre le contrôle de millions de sites web, les modifier et même compromettre totalement le système, explique le fournisseur d’hébergement web GoDaddy. Et ce, sans avoir besoin d’aucun identifiant ni mot de passe.
Les deux failles ont été mises à jour en août et gardées secrète le temps qu’un correctif soit élaboré. Mercredi, OpenAI a expliqué qu’elles avaient été trouvées par l’entreprise de sécurité informatique Calif en utilisant l’un de ses modèles les plus récents, GPT-5.6 Sol, et qu’elles constituaient « l’un des problèmes de sécurité [informatique] avec le plus gros impact, de mémoire récente ».
Face à cette vulnérabilité, le CERT-EU, l’équipe d’intervention en cybersécurité de l’Union européenne, a recommandé de mettre hors ligne les sites concernés plutôt que de les laisser exposés. Un grand nombre de sites ont ainsi bloqué leur accès mercredi, en attendant de mettre à jour leur logiciel avec des correctifs de sécurité que l’éditeur de PHP a publiés dans la journée.
Mais si les grandes institutions sont en mesure de corriger leurs sites web relativement rapidement, d’autres, notamment des sites gérés par des particuliers, pourraient demeurer vulnérables. Ils pourraient ainsi être utilisés pour propager des virus, du spam ou du contenu malveillant. Et même avec la résolution du problème initial, certaines vulnérabilités pourraient subsister, alertent des experts. Avec l’IA, les cyber assaillants disposent aussi dorénavant d’outils plus rapides pour déceler de nouvelles failles.
Jean-Philippe Behr
