Les conséquences de la vulnérabilité PHP2Shell se sont transformées en l'une des plus grandes réponses d'urgence coordonnées sur Internet depuis des années, les gouvernements mettant hors ligne des sites Web par mesure de précaution et les entreprises de sécurité signalant des millions de tentatives d'exploitation contre des sites Web exécutant le langage de programmation PHP, qui sous-tend environ 70 % des sites dans le monde.
Des millions de tentatives d'exploitation en quelques heures Pour plus de contexte sur cette histoire, consultez notre actualités IA.
Selon The Guardian, Matthew Prince, PDG de Cloudflare, a déclaré que son entreprise avait enregistré des dizaines de milliers de tentatives d'exploitation dans les 45 minutes suivant la publication de la vulnérabilité, atteignant des centaines de milliers en deux heures et « des millions maintenant ». Cloudflare a également signalé avoir constaté des milliers de tentatives au cours des 10 heures précédant l'annonce publique de la faille, un détail qui a alimenté les inquiétudes quant à la façon dont la divulgation a été traitée.
Amazon Threat Intelligence a déclaré que PHP2Shell est « désormais largement exploité dans la nature » et qu'il a identifié plusieurs tentatives de plusieurs acteurs pour trouver des moyens de tirer parti de la vulnérabilité avant même que les développeurs PHP ne publient le correctif mercredi. Le professeur de sécurité Alan Woodward de l'Université de Surrey a déclaré au journal que la faille avait été révélée un jour avant que le correctif ne soit disponible, affirmant que "quelqu'un a laissé le chat sortir du sac".
Les gouvernements mettent les sites hors ligne pour effectuer des correctifs
La réponse a été inhabituellement drastique. Au Royaume-Uni, la ministre de la Cybersécurité, Liz Lloyd, a déclaré au Parlement que 32 services gouvernementaux avaient été mis hors ligne, qualifiant cette décision de mesure de précaution pendant que les mises à jour étaient appliquées. Downing Street a déclaré qu'aucun service critique destiné au public n'avait été affecté et que certains services limités pourraient être temporairement indisponibles, mais a souligné que cela ne signifiait pas qu'ils avaient été piratés.
Le Centre national de cybersécurité du Royaume-Uni a envoyé 50 000 alertes aux organisations concernées et a déclaré n'avoir reçu aucun rapport faisant état de piratages réussis. L'agence a qualifié l'ampleur de la vulnérabilité de « sans précédent » et a averti que le correctif ne fonctionnerait pas pour certaines organisations exécutant des systèmes plus anciens, qui devront les remplacer entièrement. Les sites qui auraient été affectés par des pannes temporaires comprenaient le site Web de l'émission Traitors de la BBC, Internet Archive, Wikipedia et 4Chan.
Aux États-Unis, la National Security Agency a publié un avertissement indiquant que la faille pourrait permettre aux attaquants de prendre le contrôle des serveurs Web, de voler des données sensibles, de perturber les services et de pénétrer plus profondément dans les réseaux compromis. "Les cyber-acteurs sont susceptibles d'utiliser PHP2Shell comme une arme", a déclaré l'agence, ajoutant que les risques "sont suffisamment graves pour nécessiter une mise à jour immédiate dans les départements et agences du gouvernement américain".
L’intervention d’urgence a rapidement traversé les frontières. La Corée du Sud a activé des mesures de réponse d'urgence, augmenté son niveau d'alerte en matière de cybersécurité dans le secteur privé et émis des directives à des dizaines de milliers d'entreprises. Le ministère chinois de l'Industrie a exhorté les organisations à inspecter leurs systèmes, à passer à la dernière version sécurisée de PHP et à modifier leurs mots de passe et leurs clés. Le Premier ministre japonais a encouragé les entreprises à corriger la vulnérabilité ou à fermer leurs sites.
Pourquoi PHP2Shell est qualifié d'historique
Ciaran Martin, l'ancien directeur général du NCSC, a qualifié la faille de « très grave » et de « vulnérabilité la plus grave découverte depuis cinq ans ». Wiz, l'un des organismes de recherche qui ont découvert la vulnérabilité, a déclaré qu'il s'agissait sans doute de l'une des failles logicielles les plus graves jamais découvertes.
L’origine de la vulnérabilité est ce qui en fait une référence pour la sécurité de l’IA. Selon Wiz, les failles PHP sous-jacentes étaient présentes depuis des décennies, mais démontrer qu'elles étaient réellement exploitables nécessitait une chaîne d'étapes exceptionnellement complexe, à la limite de ce que les chercheurs humains pouvaient pratiquement réaliser. "Les modèles Frontier AI ont considérablement réduit cette barrière, transformant une faille de longue date en exploit", a écrit la société dans son blog.
L'avertissement de la NSA se concentre sur ce que les attaquants pourraient faire avec l'accès. L'expert en infrastructure Internet Michał Woźniak a déclaré au Guardian que des acteurs hostiles pourraient « s'emparer des ressources » des sites exposés, puisque les principaux sites Web contrôlent une puissance de calcul, des serveurs et des adresses IP précieuses. Les groupes criminels pourraient s’installer à l’intérieur de sites compromis pour lancer des attaques dont il est impossible de remonter jusqu’à eux, tandis que les mineurs de crypto pourraient détourner les serveurs pour exécuter gratuitement des calculs énergivores. Dans de nombreux cas, a-t-il noté, les propriétaires de sites ne sont même pas conscients du compromis.
Une note de prudence au milieu de l'alarme
Tout le monde ne croit pas que le mal est fait. Ryan Austin, un chercheur de la société de cybersécurité Calif qui a joué un rôle clé dans la découverte de la faille, a déclaré au Guardian que « pour le moment, il ne semble pas que l'exploitation ait décollé ou se soit généralisée ». Les chambres de commerce britanniques ont déclaré que les perturbations n'avaient pas encore causé de difficultés significatives aux entreprises britanniques.
L'ancien chef du GCHQ, Sir David Omand, a toutefois averti que des États adversaires, notamment la Russie et la Chine, pourraient chercher à exploiter le bug avant que les défenses ne soient pleinement en place, rappelant que la fenêtre entre la divulgation et la réparation complète est celle où Internet est le plus exposé.
Ce que les opérateurs de sites devraient faire maintenant
Pour les organisations encore exposées, les conseils des agences sont cohérents : mettez immédiatement à niveau vers la dernière version corrigée de PHP, vérifiez que les correctifs sont appliqués correctement et, si les systèmes sont trop anciens pour accepter le correctif, isolez-les ou remplacez-les. L'avertissement du NCSC selon lequel certains systèmes existants ne peuvent pas du tout être corrigés suggère que la longue traîne de cette vulnérabilité persistera bien au-delà de l'urgence actuelle.
L’épisode règle également un débat sur la recherche offensive assistée par l’IA. Ce qui était théorique il y a une semaine est désormais un incident mondial réel : un système d’IA a trouvé un moyen de transformer en arme des bugs qui sont restés inexploités pendant des décennies, et chaque gouvernement sur Internet passe maintenant sa semaine à nettoyer.
---
Restez à la Pointe de l'IALes dernières actualités, analyses et percées en IA — au même endroit.
Lire plus d'actualités IA →
