Failles PHP: des millions de tentatives d’attaque, les sites suisses doivent agir

Deux failles critiques dans PHP, un langage de programmation très répandu, ont entraîné mercredi 21 octobre la mise hors ligne préventive de nombreux sites dans le monde. En Suisse, le canton de Bâle-Ville, l’Université de Genève et l’EPFL ont notamment été concernés. Des correctifs sont disponibles depuis mercredi après-midi. Pour les responsables de serveurs web, l’urgence est réelle: les tentatives d’exploitation de ces vulnérabilités se comptent déjà par millions.

Jeudi matin, plusieurs sites d’établissements de formation, d’entreprises et d’autorités restaient inaccessibles. La plupart des services suisses cités étaient toutefois de nouveau en ligne. Une désactivation préventive ne signifie pas qu’une attaque a réussi: elle vise d’abord à empêcher qu’un serveur non protégé reste accessible sur internet.

Pourquoi ces failles sont si dangereuses

PHP fonctionne en arrière-plan sur les serveurs web et permet de créer des sites dynamiques. Il est notamment utilisé par WordPress, Drupal et MediaWiki, le logiciel sur lequel repose Wikipédia. Selon les estimations, plus de 60% des sites web recourent à PHP sous une forme ou une autre. Cette présence explique l’ampleur de l’alerte, mais ne signifie pas qu’autant de sites ont été attaqués ou compromis.

Les deux vulnérabilités permettent à des pirates d’exécuter à distance, sans authentification, leur propre code malveillant sur les serveurs concernés. Dans le pire des cas, ils peuvent prendre le contrôle du serveur et des sites qu’il héberge. Au-delà des interruptions de service, des données clients pourraient être dérobées ou des fichiers chiffrés pour exiger une rançon.

Ces défauts étaient restés inaperçus pendant des années. L’équipe du projet PHP les connaissait depuis août et préparait des mises à jour de sécurité. Leur existence devait rester confidentielle jusqu’à la publication des correctifs, afin de ne pas donner d’avance aux attaquants. Pourtant, quelques heures avant cette publication, des indications sur les failles et leur exploitation circulaient déjà.

Le prestataire de services cloud Cloudflare a observé des milliers de tentatives d’attaque durant les quelque dix heures précédant l’annonce publique. Dans les 45 premières minutes qui ont suivi, leur nombre est passé à des dizaines de milliers, puis à des centaines de milliers en deux heures, avant d’atteindre des millions. Il s’agit de tentatives, et non d’intrusions réussies démontrées.

Ce que les responsables suisses doivent vérifier

L’Office fédéral de la cybersécurité a appelé les exploitants de sites, de boutiques en ligne et de plateformes numériques d’entreprise à agir sans délai. Première étape: dresser un inventaire. Où PHP est-il utilisé, dans quelle version, quels systèmes sont accessibles depuis internet et qui les exploite? Les composants intégrés et les applications exploitées par des prestataires externes doivent aussi être pris en compte.

Les correctifs disponibles depuis mercredi à 16 heures doivent être installés immédiatement. Mais cette opération ne clôt pas nécessairement le travail. Il faut ensuite redémarrer les services PHP concernés ainsi que les processus fonctionnant en permanence. Pour les applications déployées dans des conteneurs, il peut être nécessaire de reconstruire ces derniers et de les redéployer.

Les responsables doivent ensuite vérifier que l’application en fonctionnement utilise effectivement la version corrigée de PHP, ou un paquet logiciel dont le fournisseur confirme la correction. Télécharger une mise à jour ne protège pas un service qui continue à fonctionner avec l’ancienne version.

Les anciennes versions de PHP qui ne bénéficient plus d’un support officiel posent un problème particulier: aucun correctif correspondant n’est disponible. Ces systèmes doivent être isolés ou déconnectés jusqu’au passage à une version actuelle, prise en charge et corrigée. Pour des sites restés longtemps inchangés, une simple mise à jour peut donc ne pas suffire.

Hébergeur ou serveur propre: qui doit intervenir?

Pour les associations, particuliers et entreprises en Suisse, le travail dépend largement du mode d’hébergement. Beaucoup louent un espace auprès d’un hébergeur pour leur site WordPress ou d’autres applications. La mise à jour de l’environnement serveur relève alors généralement du prestataire. En cas de doute, il faut consulter ses informations sur l’état du service ou lui demander une confirmation explicite de la correction.

En revanche, quiconque exploite son propre serveur doit organiser la mise à jour de PHP. Publier du contenu dans WordPress et sécuriser l’environnement serveur sont deux tâches distinctes. La question n’est donc pas seulement de savoir quel système de gestion de contenu est utilisé, mais aussi qui entretient l’infrastructure technique.

Quel que soit l’hébergement, un correctif ferme la faille sans effacer une intrusion déjà survenue. Les responsables doivent examiner les journaux et les systèmes pour repérer des requêtes inhabituelles, des plantages, des fichiers modifiés ou des processus inattendus. Cette vérification s’impose aussi avant une remise en ligne: un serveur désactivé temporairement peut encore contenir un logiciel malveillant s’il a été attaqué auparavant.

Ce qui change pour les internautes

Les personnes qui naviguent sur leur smartphone ou leur ordinateur n’ont rien à mettre à jour sur leur appareil en raison de ces failles PHP. Celles-ci touchent les serveurs des fournisseurs, pas les appareils des visiteurs. Les internautes peuvent néanmoins subir des interruptions de services ou d’éventuelles fuites de données sur des sites insuffisamment protégés.

D’autres attaques et interruptions sont à prévoir ces prochains jours, tous les exploitants ne pouvant sécuriser leurs systèmes simultanément. Trois tâches restent prioritaires: installer les correctifs, vérifier leur efficacité et rechercher d’éventuelles intrusions antérieures. Pour les organisations suisses disposant d’un site, la question essentielle est désormais de savoir si le responsable de son exploitation a achevé ces opérations.