Deux failles de PHP entraînent la mise hors ligne de nombreux sites

PHP n’est ni un site ni une plateforme en ligne, mais un langage exécuté par des serveurs. Lorsqu’un internaute ouvre une page, il permet au serveur d’en composer le contenu puis de l’envoyer au navigateur. Il est utilisé par de nombreux sites publics et privés, notamment ceux qui reposent sur des outils comme WordPress, Drupal, Joomla ou Magento.

Les deux vulnérabilités pouvaient notamment permettre une attaque par déni de service. D’autres descriptions évoquent la possibilité d’exécuter du code sur un serveur, d’en prendre le contrôle ou d’accéder à des données. En France, l’Anssi a estimé que plus de 600 000 serveurs utilisaient PHP. La combinaison de cette diffusion et de la gravité des failles explique la recommandation de couper les serveurs concernés plutôt que d’attendre une éventuelle attaque.

La mesure de précaution a dépassé les frontières françaises. Des services publics et des collectivités ont été suspendus au Royaume-Uni, en Allemagne, au Danemark, aux Pays-Bas, en Belgique et en Finlande. Des sites de gouvernements, d’hôpitaux, d’universités et de collectivités ont été concernés, ainsi que des plateformes privées et des médias.

Les interruptions ont aussi touché des services utilisés directement par le public. En Belgique, des sites de la police fédérale ont été désactivés, tandis que le numéro d’urgence 101 restait accessible. Au Danemark, la plateforme scolaire Aula et plusieurs solutions municipales ont été fermées. En Finlande, le prestataire informatique de l’État a indiqué que des services du réseau public avaient été rendus totalement ou partiellement indisponibles. En France, le ministère de l’Intérieur a annoncé que les publications des préfectures passeraient temporairement par les réseaux sociaux et l’affichage.

La découverte des failles a été attribuée dans la couverture à des recherches menées avec des outils d’intelligence artificielle. OpenAI a indiqué qu’une société de cybersécurité, Calif, avait utilisé l’un de ses modèles récents. Wiz, filiale de Google, a également revendiqué un rôle dans l’identification des vulnérabilités et la vérification du correctif, en mentionnant ses propres outils ainsi que des modèles de Google et d’OpenAI.

L’alerte ne concerne donc pas seulement la recherche défensive. Une fois le correctif rendu public, les mêmes capacités peuvent aider des attaquants à comprendre rapidement le défaut et à rechercher les serveurs qui ne sont pas encore mis à jour. Des agences de cybersécurité européennes, américaines, britanniques et d’autres pays ont demandé une mise à jour immédiate ou la déconnexion des sites concernés. Le Centre néerlandais de cybersécurité a toutefois indiqué ne pas avoir observé de détournement actif des vulnérabilités au moment de son alerte. D’autres experts ont redouté une exploitation rapide après la publication des correctifs.