Sites internet fermés : des failles dans PHP, "colonne vertébrale du web"

Après la découverte de vulnérabilités de cybersécurité, les regards se tournent vers PHP, l'un des langages de programmation les plus répandus sur le web.

Jeudi, de nombreux sites restaient suspendus à titre préventif. Au Royaume-Uni, une ministre chargée des technologies a déclaré que 32 services gouvernementaux étaient hors service, principalement en raison de "mesures de précaution", tandis que certains sites web hors ligne la veille étaient semblaient de nouveau accessibles.

Qu'est-ce que PHP et comment est-il utilisé ?

Créé au début des années 1990, PHP est un langage de programmation informatique qui fait fonctionner environ 70 % des sites web dans le monde.

Contrairement à un site statique, qui envoie toujours la même page à tous les visiteurs, un site en PHP est dit "dynamique": il génère son contenu à la demande en consultant une base de données, en vérifiant si l'utilisateur est connecté, en affichant des informations personnalisées ou encore en mettant à jour le contenu en temps réel.

C'est "la colonne vertébrale du web", décrit la société de cybersécurité Wiz Research, qui a utilisé l'IA pour trouver des vulnérabilités cachées dans PHP depuis plus de dix ans.

PHP, à l'origine l'abréviation de "Personal Home Page" devenue ensuite "PHP Hypertext Preprocessor", est utilisé au cœur de plateformes populaires de création de sites internet, comme WordPress, Drupal ou PrestaShop.

Les failles découvertes pourraient permettre à des pirates de s'introduire dans un grand nombre de ces sites, des boutiques en ligne aux services publics, dont un certain nombre ont été mis préventivement mis hors-ligne.

Comment l'IA a-t-elle trouvé les failles ?

Des modèles d'IA de pointe, comme ceux des géants américains OpenAI et Google, ont été utilisés par Wiz et d'autres groupes pour mettre au jour les points faibles de PHP en août. Cette trouvaille a été gardée secrète le temps qu'un correctif soit élaboré.

OpenAI a qualifié ces failles de "l'une des vulnérabilités les plus marquantes de ces dernières années", ajoutant qu'elles "marquent une nouvelle phase, où l'IA peut trouver des bugs de sécurité avec un impact à l'échelle d'internet".

Indépendamment de Wiz, la société de cybersécurité Calif a découvert ces failles dans le cadre d'un audit du code PHP financé par OpenAI.

"Le problème avec des outils comme l'IA, c'est qu'au moment où toute l'information est rendue publique, les gens peuvent la transformer en arme extrêmement rapidement", déclare à l'AFP Steve Kerrison, maître de conférences en cybersécurité sur le campus de Singapour de l'Université James Cook.

Des sites ont-ils déjà été piratés ?

Selon l'Agence de sécurité nationale américaine, les failles découvertes "offrent souvent un accès direct au système de fichiers ou à la base de données du serveur", ce qui permet potentiellement à un pirate de prendre le contrôle de ces serveurs sans même avoir besoin d'entrer un mot de passe.

Interrogé jeudi par la BBC, le chercheur Ryan Austin, qui a travaillé sur le cas de PHP pour l'entreprise de cybersécurité Calif, a indiqué que "pour l'instant, il ne semblait pas que l'exploitation ait vraiment décollée ou soit devenue répandue".

L'équipe d'Amazon Threat Intelligence, dédiée aux menaces en ligne, a néanmoins indiqué la veille avoir repéré une tentative d'exploitation des vulnérabilités avant même la date leur divulgation officielle.

"Il reste incertain de quelle manière cet acteur a obtenu les informations" liées à ces failles, a ajouté l'entreprise.

S'agissant des sites suspendus, il s'agit avant tout d'une mesure de précaution.

"Mettre des sites web hors-ligne ne signifie pas nécessairement qu'ils ont été piratés. Cela peut être une mesure responsable pour protéger les systèmes pendant l'application des mises à jour de sécurité", explique Dimitrios Salampasis, de la Swinburne University of Technology en Australie.

D'autres conséquences sont-elles possibles ?

Les grandes institutions, des agences gouvernementales aux médias, devraient pourvoir sécuriser leurs sites web relativement rapidement, mais d'autres pourraient demeurer vulnérables.

"Certains sites, systèmes et personnes n'auront absolument aucune idée de ce qui se passe et resteront dans l'ignorance pendant des jours, des semaines, voire des mois", met en garde M. Kerrison.

Cela pourrait inclure des blogs ou autres sites gérés par des particuliers qui pourraient être utilisés pour propager des virus, du spam ou du contenu malveillant.

La nature complexe et interconnectée des systèmes en ligne, qui utilisent souvent des interfaces tierces, fait que certaines vulnérabilités peuvent subsister même après la résolution du problème initial.

Si des interfaces tierces utilisent PHP, "alors même si vous vous êtes corrigés… Vous restez vulnérables", souligne Rahat Masood, maître de conférences en cybersécurité à l'Université de Nouvelle-Galles du Sud à Sydney.