Deux failles PHP mettent des milliers de sites hors ligne

Des milliers de sites ont été mis hors ligne préventivement mercredi 21 octobre en France et dans plusieurs pays européens. L’alerte concernait deux vulnérabilités du langage de programmation PHP. L’Agence américaine de renseignement NSA et le Centre national britannique de cybersécurité ont recommandé aux sites concernés de se déconnecter. Cette mesure devait durer jusqu’à l’installation d’une mise à jour logicielle. En France, l’Agence nationale de la sécurité des systèmes d’information a demandé la suspension de nombreuses plateformes. Les sites de toutes les préfectures figuraient parmi les services concernés. Des ministères, des grands médias et des collectivités ont également été touchés par ces interruptions préventives.

La fondation PHP avait publié une note sur deux vulnérabilités plus tôt mercredi. PHP signifie Hypertext Preprocessor et constitue un langage créé au début des années 1990 par Rasmus Lerdorf. Il relie notamment un site internet à un serveur qui héberge des bases de données. Selon Palo Alto Networks, 22 millions de plateformes étaient exposées aux vulnérabilités identifiées. Sagi Tzadik, chercheur chez Wiz, estime que PHP fait fonctionner environ 70 % du web mondial. Les suspensions ont concerné des plateformes de service public et de collectivités en Finlande, au Royaume-Uni, en Allemagne, au Danemark, aux Pays-Bas et en Belgique.

Calif identifie deux vulnérabilités PHP

GPT-5.6 Sol a contribué à la découverte des failles par Calif, une entreprise de sécurité informatique. OpenAI a présenté ce résultat le 19 octobre, en indiquant que Calif avait utilisé l’un de ses modèles les plus récents. Wiz, filiale de Google, a aussi identifié ces vulnérabilités sans préciser les modèles employés. OpenAI a qualifié l’incident de problème informatique au très large impact, en raison de la gravité des failles et de la diffusion de PHP. L’entreprise a également averti que des capacités similaires pouvaient aider des pirates à développer rapidement des attaques. La découverte a donc accéléré la correction, tout en réduisant le temps disponible pour les acteurs exposés.

Anthropic retient Mythos pour des raisons liées aux risques en cybersécurité. L’entreprise n’a pas commercialisé largement ce modèle et l’a confié seulement à un nombre limité d’organisations. Ces organisations devaient effectuer des actualisations logicielles afin de combler les ouvertures repérées par Mythos. L’épisode PHP illustre ainsi deux usages opposés de l’intelligence artificielle dans la sécurité informatique. Les modèles peuvent repérer davantage de fissures dans les logiciels. Ils peuvent aussi permettre à des pirates de viser davantage de cibles en moins de temps. La découverte par Calif et l’alerte de Wiz ont placé ces deux effets au centre de la réponse technique du 21 octobre.

TLS ajoute une alerte en 24 heures

Cloudflare alerte sur TLS après une autre annonce intervenue mardi. Ce protocole de chiffrement protège la confidentialité et l’intégrité des échanges sur internet. Plusieurs exemples ont montré que des pirates pouvaient se faire passer pour un utilisateur et décrypter des communications. Matthew Prince, dirigeant de Cloudflare, a décrit deux catégories de vulnérabilités extrêmement sérieuses révélées en 24 heures. Selon lui, la faille TLS concerne tout le monde en ligne. La vulnérabilité PHP concerne presque tous les utilisateurs d’un serveur, a-t-il ajouté. Les recommandations de déconnexion et de mise à jour ont donc accompagné l’alerte concernant les sites exposés.

Lire l’article de France 24 pour le détail des suspensions européennes et des déclarations d’OpenAI. La fondation PHP avait publié sa note sur les deux vulnérabilités avant les recommandations de la NSA et du NCSC. En France, l’Anssi a demandé la mise hors ligne préventive des plateformes concernées. La priorité opérationnelle était la mise à jour du logiciel avant la reconnexion. L’incident a également montré l’étendue de l’exposition estimée par Palo Alto Networks, avec 22 millions de plateformes potentiellement concernées par ces failles PHP.