TOKYO/BEIJING/AMSTERDAM — Jeudi, entreprises et gouvernements du monde entier se sont empressés de corriger des vulnérabilités critiques de PHP, le langage de programmation vieux de plusieurs décennies qui soutient une grande partie d'Internet, tandis que les fournisseurs de cloud signalaient une flambée de tentatives de piratage suite à la divulgation publique des failles.

La riposte d'urgence a commencé après que des gouvernements en Europe et ailleurs ont mis hors ligne des sites web par précaution mercredi, pendant que les opérateurs s'affairaient à sécuriser les systèmes faisant tourner ce logiciel très répandu.

Les arrêts de services bancaires, aériens, ferroviaires, fiscaux et gouvernementaux de Tokyo à Helsinki ont constitué l'un des tests les plus spectaculaires des outils qui maintiennent le web en fonctionnement, révélant à quel point gouvernements et entreprises dépendent d'un code que peu de personnes comprennent vraiment.

« Je n'ai rien vu de tel depuis très, très longtemps », a déclaré le PDG de Microsoft, Satya Nadella, lors d'un événement en Allemagne jeudi, ajoutant que l'incident soulignait l'importance de concevoir des logiciels pouvant être maintenus de manière sécurisée à mesure que les systèmes deviennent plus complexes. « Ce fut une longue journée et une longue nuit, je le sais, pour toutes les équipes informatiques et de sécurité. »

PHP : pilier des fondations d'Internet au même titre qu'HTML et Python

Les développeurs de PHP — un langage de programmation comparable à HTML et Python — ont publié mercredi des correctifs pour des vulnérabilités qui s'étaient dissimulées dans le logiciel pendant des années avant d'être découvertes grâce à l'intelligence artificielle. Ils ont exhorté les utilisateurs à « mettre à jour immédiatement ». PHP est exécuté sur les serveurs web pour générer des pages dynamiques et des applications, de sorte qu'une faille dans son code central peut potentiellement affecter tout site ou service construit avec lui.

Madeline Lawrence, cofondatrice de la société belge de cybersécurité Aikido Security, a indiqué que les détails des failles avaient été rendus publics avant que les correctifs ne soient prêts, et que des attaques ont été signalées depuis.

« Les entreprises se battent pour se mettre à jour face à des attaquants capables d'utiliser l'IA pour les exploiter. C'est toute la course », a-t-elle déclaré.

Alors que les organisations déployaient des correctifs et suspendaient des sites web par précaution, les tentatives de piratage ont grimpé à des millions, selon les sociétés de services cloud Cloudflare et Amazon.

« Dans les 10 heures précédant l'annonce publique, nous avons observé sur le réseau des milliers de tentatives d'exploitation », a écrit le PDG de Cloudflare, Matthew Prince, dans une publication sur X tard mercredi. « C'est passé à des dizaines de milliers dans les 45 minutes suivant l'annonce, des centaines de milliers en 2 heures, et des millions désormais. »

Amazon a également indiqué avoir observé une exploitation généralisée. L'escalade décrite par Prince illustre la fenêtre de risque soulignée par Lawrence : entre la divulgation publique et l'achèvement des correctifs, les systèmes fonctionnant encore avec du code vulnérable restent exposés.

Un impact du Japon à la Finlande

Des entreprises japonaises, dont le courtier Nomura, le prêteur Mitsubishi UFJ Financial Group, la compagnie aérienne ANA et East Railway, ont déclaré jeudi suspendre temporairement certains services Internet dans le cadre de mesures d'urgence.

Le brasseur Asahi Group Holdings a temporairement suspendu certains sites web et systèmes tout en menant une évaluation de l'impact sécuritaire, et l'assureur Tokio Marine Holdings a indiqué avoir suspendu son site institutionnel.

Le ministère japonais des Finances et l'Agence météorologique ont partiellement suspendu leurs services en ligne pour mettre en œuvre des mesures de sécurité, tandis que l'Agence nationale des impôts a temporairement retiré son service.

Ces arrêts préventifs reflètent les préoccupations croissantes du Japon en matière de cybersécurité. Le pays a enregistré plus d'incidents cyber au cours des neuf premiers mois de cette année que sur l'ensemble de l'année dernière, selon les données de TrendAI.

Ailleurs, le groupe français de télécommunications Orange a déclaré avoir suspendu temporairement l'accès à certains sites web et applications basés sur PHP dans plusieurs filiales, par précaution. Tencent Cloud, l'un des plus grands fournisseurs de cloud computing de Chine, a exhorté ses clients à installer des versions mises à jour de PHP, sans toutefois appeler à des arrêts généralisés de sites web.

Le fournisseur informatique public finlandais Valtori a indiqué avoir poursuivi l'installation des correctifs de sécurité PHP pendant la nuit et lever progressivement les blocages préventifs de services après avoir arrêté la veille les services web publics du gouvernement.

« La restauration des services peut prendre des jours, voire des semaines, car en plus des mises à jour, les systèmes doivent être soigneusement testés », a déclaré le directeur général de Valtori, Hannu Naumanen, dans un communiqué.

Valtori a précisé que les interruptions n'étaient pas causées par l'exploitation des vulnérabilités ni par une cyberintrusion, et qu'il n'avait pas connaissance d'une exploitation active des failles.

Certains correctifs pourraient prendre des semaines

Plusieurs gouvernements asiatiques ont ordonné jeudi des inspections de cybersécurité liées aux vulnérabilités de PHP. Le ministère chinois de l'Industrie a exhorté les organisations et les utilisateurs à inspecter leurs systèmes et à passer à la dernière version sécurisée de PHP, et a recommandé de renforcer la surveillance de la cybersécurité et de changer les comptes, mots de passe et clés si nécessaire.

La Corée du Sud a relevé son niveau d'alerte de cybersécurité du secteur privé et activé des mesures d'intervention d'urgence, invoquant un risque accru d'attaques de piratage.

En Allemagne, Felix Kuhlenkamp, responsable de la sécurité au sein de l'association de l'industrie numérique Bitkom, a indiqué que de nombreux grands opérateurs avaient déjà effectué les mises à jour, mais que les systèmes informatiques complexes et les petites organisations pourraient prendre plus de temps.

« Ils peuvent exploiter un site web utilisant PHP sans vraiment le surveiller de près », a-t-il déclaré. « Si un site web repose sur une ancienne version de PHP pour laquelle il n'existe pas de mise à jour de sécurité, tout le système doit être mis à jour. »

Désormais, les signaux les plus clairs de la façon dont cet épisode se déroulera résideront dans le maintien ou non des tentatives d'exploitation aux volumes rapportés par les fournisseurs de cloud, et dans la rapidité avec laquelle les services suspendus reviendront à mesure que les mises à jour et les tests seront achevés.

— Reuters

Source : BusinessWorld