Delphine Sabattier

⬛️ Journée noire pour les réseaux, on ressort les photos de hackers à sweat à capuche : 70 % des sites dans le monde sont exposés à deux failles de sécurité dans PHP. De nombreux sites ont été mis hors ligne par précaution. En France : les préfectures, le site des impôts, Météo-France... Selon Cloudflare, de premières tentatives d'exploitation ont déjà été observées. Aux États-Unis, la NSA appelle à des mises à jour immédiates. Ces failles pourraient permettre à des pirates de prendre le contrôle de serveurs, de voler des données ou d'installer des logiciels malveillants. Comment en est-on arrivé là ? La faille avait été entrevue dès l'audit de sécurité de PHP en 2024, sans exploit concret, donc laissée de côté. Le 11 août dernier, des modèles d'OpenAI (programme Patch the Planet) et la société Calif trouvent, chacun de leur côté, un chemin d'exécution de code à distance. Pendant deux mois, une coalition de mainteneurs et d'éditeurs de sécurité prépare le correctif sous embargo, car il exigeait une refonte du moteur PHP. Le plan : pré-annonce quelques jours avant, puis publication coordonnée. Puis tout dérape. Le 20 octobre, les identifiants des failles fuitent en ligne. PHP avance en urgence la pré-annonce au mardi soir et le correctif au mercredi. Entre les deux, Calif publie par erreur une vidéo de démonstration, et Chainguard casse l'embargo en livrant ses images corrigées six heures trop tôt, ce qui permet à n'importe qui de comparer les binaires et de localiser la faille. Résultat : une fenêtre de 24 heures pendant laquelle le monde entier sait qu'une faille à 9,2/10 existe. D'où les sites coupés. Le correctif est sorti cet après-midi pour PHP 8.2 à 8.5. Mais il n'est pas automatique et, surtout, la moitié des sites PHP dans le monde tournent sur des versions plus anciennes, que le projet ne maintient plus. Pour ceux-là, il n'y a pas de correctif et il n'y en aura pas. Si vous avez un site WordPress, Drupal ou Joomla, vérifiez votre version de PHP ce soir. En parallèle, et sans rapport, le réseau Orange, lui, est coupé depuis plus de 5 heures. On ne connaît pas la cause, mais la panne est survenue quelques heures après l'arrêt du réseau 2G. Bon courage aux admins et aux devs.