Depuis la découverte des failles PHP2Shell, le monde de l’informatique est en alerte. Tous les administrateurs de sites et les équipes de sécurité se hâtent d’installer les correctifs avant que des pirates ne frappent. Pour les experts de l’entreprise de cybersécurité Filigran, le vrai défi n’est pas de colmater le code de PHP. Pour Samuel Hassine, PDG et cofondateur de la société française, « corriger est la partie facile » du processus. En fait, il est beaucoup plus compliqué de localiser toutes les infrastructures qui reposent sur PHP, et qui ont donc besoin d’un correctif de toute urgence. Une mise à jour ne compte vraiment « que lorsqu’on a prouvé qu’il est appliqué partout où un attaquant peut l’atteindre ».
À lire aussi : « C’est un nouveau monde » – une armée d’IA vient de lancer une cyberattaque « massive », plus de 100 entreprises piratées
PHP est partout
Comme nous l’explique Samuel Hassine, « le plus difficile n’est pas d’installer le correctif, mais de savoir où PHP s’exécute : sous les systèmes de gestion de contenu, les plateformes d’hébergement, les appliances et les produits tiers qui ne le mentionnent jamais ». Autrement dit, des milliers d’équipements font tourner PHP sans que leurs propriétaires soient au courant. « C’est pourquoi des gouvernements mettent des sites hors ligne plutôt que d’attendre », ajoute l’expert. Les autorités préfèrent actuellement mettre des sites hors ligne plutôt que de s’exposer à des cyberattaques. Ces derniers jours, de nombreux sites publics, dont des administrations, des universités, et des hôpitaux, se sont retranchés derrière une opération de « maintenance ». En d’autres termes, l’accès est coupé le temps d’appliquer le correctif qui empêchera les pirates d’entrer.
« Mettre un site hors ligne pendant une journée est une décision bien moins coûteuse que d’expliquer une compromission pendant un an », souligne Samuel Hassine.
Une crise qui rappelle la faille Log4j
Pour Debrah Galea, experte en sécurité chez Filigran, la situation rappelle la fameuse crise Log4Shell de 2021. Cette année-là, une faille critique dans la bibliothèque Log4j. En miroir de PHP, Log4j était omniprésent dans le monde du numérique. Gratuit et open source, Log4j se retrouvait dans des briques majeures du web, comme Apache Struts2, Solr, Druid et Flink. Des millions de services en ligne reposaient donc sur la bibliothèque.
« PHP2Shell réunit bon nombre des ingrédients de Log4Shell : une exécution de code à distance sans authentification, dans un logiciel présent presque partout », explique
Il y a une bonne nouvelle par rapport à la crise de 2021. Debrah Galea souligne que « PHP est plus facile à repérer » que Log4j, « ce qui permet aux organisations d’identifier plus vite leurs expositions ». Et « contrairement à Log4Shell, un correctif est déjà disponible ». Cependant, tous les détails techniques de la faille se sont retrouvés en ligne avant la publication du correctif. De facto, des cyberattaques ont déjà été repérées.
« Maintenant qu’un exploit fonctionnel existe, cela ne ralentira pas longtemps les attaquants », prévient Debrah Galea.
À lire aussi : « La partie émergée d’un iceberg » – après les frigos, quels appareils risquent aussi de se faire pirater ?
Colmater ou isoler
Mathieu Rigotoo, directeur de la sécurité de Filigran, estime qu’il est essentiel que les organisations se penchent sur leur « surface d’attaque », c’est-à-dire « quels points d’accès PHP sont réellement joignables depuis Internet, y compris les systèmes anciens oubliés ». Avant toute chose, il est indispensable de faire le point sur toutes les portes d’entrée reposant sur le langage PHP. Les responsables sont appelés à inventorier tous les systèmes exposés et à demander à chaque éditeur si son produit embarque PHP. Ensuite, il faut évidemment corriger tous les produits reposant sur le langage de programmation en installant les correctifs. Si le produit ne peut pas être colmaté, il est impératif de l’isoler du reste du réseau. Bref, les développeurs et les administrateurs ont du pain sur la planche.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
