FR
Une faille de cybersécurité majeure dans le langage de programmation PHP met en danger des millions de sites web. Voici ce que cela implique pour vos données personnelles et ce que vous pouvez faire pour y remédier.
Pour la plupart des grands services que vous utilisez quotidiennement, la réponse est très certainement oui. Les banques, les fournisseurs de messagerie électronique et les grandes boutiques en ligne disposent d’équipes de sécurité dont le travail consiste à réagir rapidement à des alertes comme celle-ci, et beaucoup d’entre eux s’appuient sur des services tels que Cloudflare, qui a mis en place des protections contre cette faille PHP neuf heures avant qu’elle ne soit rendue publique.
La réponse honnête pour tout le reste est la suivante : cela dépend du site web, et vous ne pouvez pas le savoir de l’extérieur. Votre risque se résume à une question à laquelle vous ne pouvez pas répondre vous-même : les responsables de chaque site que vous avez utilisé ont-ils corrigé leurs serveurs à temps ?
Cela peut sembler inquiétant, mais vous pouvez prendre de nombreuses mesures pour vous assurer que, même si un site est piraté, les dégâts s’arrêtent là. C’est ce dont traite la suite de ce guide.
Le langage de programmation PHP alimente discrètement les pages d’une grande partie des sites web du monde entier, y compris la plupart des sites créés avec WordPress. Le 21 octobre, ses développeurs ont annoncé une faille critique de cybersécurité, surnommée PHP2Shell, et ont publié un correctif. Cloudflare avait déjà déployé des protections neuf heures plus tôt dans le cadre d’une réponse coordonnée.
Le plan consistait à garder les détails secrets jusqu’à ce que le correctif soit prêt. Cela n’a pas fonctionné : la nouvelle a fuité avec un jour d’avance, et les cybercriminels ont agi rapidement.
Matthew Prince, le dirigeant de la société d’infrastructure Internet Cloudflare, a écrit sur X que l’entreprise avait constaté des « milliers » de tentatives d’exploitation des failles PHP sur l’ensemble de son réseau au cours des 10 heures précédant l’annonce publique. « Ce chiffre est passé à plusieurs dizaines de milliers dans les 45 minutes qui ont suivi l’annonce. » (via BBC News live)
Amazon affirme avoir repéré une tentative encore plus tôt, le 17 octobre, soit quatre jours avant l'annonce. En d'autres termes, il ne s'agit pas d'un risque théorique. Les pirates s'y essaient activement.
Il ne s’agit pas d’un bug qui se contente de mettre un site web hors service. Alan Woodward, professeur au Surrey Centre for Cyber Security, a déclaré à l’émission Today de BBC Radio 4 que ces failles permettent à un pirate de « placer son propre code sur le serveur web » et « en gros, de faire tout ce qu’il veut ».
Il a précisé que cela pouvait notamment consister à :
En termes d’ampleur, il a qualifié la situation de grave, affirmant qu’elle pourrait toucher « environ 30 millions de sites web ».
Cette question de la porte dérobée est importante pour vous. Un site qui installe le correctif aujourd’hui peut tout de même avoir été piraté les jours précédents. Les chercheurs d’Amazon conseillent de mener des investigations à partir du 17 octobre, et non à partir de la date de l’annonce. Il faudra donc peut-être attendre plusieurs semaines avant que certaines violations ne soient découvertes.
Les informations qu’un pirate pourrait dérober dépendent des données que chaque site web conserve à votre sujet. En général, cela comprend :
Les sites les plus exposés ne sont pas les plus connus. Il s’agit de petites boutiques, de clubs, de forums et de blogs, souvent créés il y a des années et rarement mis à jour, car beaucoup fonctionnent avec d’anciennes versions de PHP qui n’ont jamais bénéficié d’un correctif officiel.
Souvent, vous ne le saurez pas tout de suite. Voici les signes à surveiller au cours des prochaines semaines :
Vous ne pouvez pas réparer les sites web d’autrui, mais vous pouvez limiter les conséquences qu’une intrusion sur l’un d’entre eux pourrait avoir pour vous.
La faille PHP est grave, et les pirates s’en sont emparés en quelques heures. Mais vous n’êtes pas impuissant. La plupart de vos comptes importants sont gérés par des entreprises qui réagissent rapidement, et les mesures ci-dessus garantissent que même si un petit site que vous avez utilisé par le passé est piraté, votre messagerie, votre compte bancaire et votre argent restent hors de portée.
Ne vous inquiétez pas trop de savoir si chaque site web que vous avez déjà utilisé est sûr. Veillez plutôt à ce qu’aucun d’entre eux ne détienne la clé d’accès aux autres.
Adam Collins est chercheur en cybersécurité chez ScamAdviser ; il utilise un pseudonyme pour des raisons de confidentialité et de sécurité. Fort de plus de quatre ans d’expérience en première ligne du monde numérique, il est spécialisé dans la traduction de menaces complexes en conseils concrets. Sa mission : mettre en évidence les signaux d’alerte afin que vous puissiez naviguer sur le Web en toute confiance.
