Failles PHP: la trop lente mise à jour des sites vulnérables - ZDNET
Si des sites web recommencent à être disponibles après avoir été, par mesure de sécurité, coupés, il reste encore bien des services PHP à mettre à jour après la publication de deux correctifs critiques.
« Site en maintenance ». En ce matin du vendredi 23 octobre, de trop nombreux sites français affichent encore ce message. Si la Cnil a par exemple résolu le problème, d’autres, comme celui de la préfecture de la Seine-Saint-Denis, sont toujours en carafe. C’est le résultat de deux failles particulièrement critiques identifiées dans le projet PHP, le support d’environ 70% des sites web du monde, selon une estimation qui fait consensus.
Dénommée PHP2Shell, ces deux failles ont été corrigées mardi dernier. Mais en attendant de corriger les vulnérabilités, les experts en cybersécurité préconisent de couper le service plutôt que d’être exposé. « Seule la mise à jour est sûre », rappelle ainsi le Cert Santé. Résultat : des jours noirs qui se succèdent sur le web. « Quelle journée », soupire par exemple sur le réseau social LinkedIn cet ancien cadre d’une des agences du Secrétariat général de la défense et de la sécurité nationale (SGDSN).
🚨 Censys is closely tracking PHP2Shell exposure and remediation worldwide.Our live dashboard tracks affected PHP versions and patching progress by country, network, and PHP version.View the live dashboard: php2shell.censys.com
Problèmes en cascade
Surtout quand les galères s’enchaînent : « Compliqué de se connecter à son hébergeur quand la double authentification est activée par SMS », signale un ingénieur réseau, en référence à la panne de réseau mobile chez Orange. Un dernier « incident lié à une défaillance d'un équipement au niveau de notre cœur de réseau mobile », a indiqué l’opérateur.
Ce n’est d’ailleurs pas le seul imbroglio autour des failles PHP2Shell. La divulgation de ces vulnérabilités a en effet dérapé, comme l’a par exemple signalé Amazon. Le géant américain a ainsi identifié une tentative d’exploitation quatre jours avant la publication des correctifs. D’autres tentatives ont été également remarquées quelques heures avant la levée de l’embargo.
« Le délai entre la publication d'un correctif et l'exploitation d'une faille se réduit pour des raisons structurelles », observe l’entreprise. Avec l’IA, il est désormais plus simple de transformer un avis de sécurité et un correctif en un exploit fonctionnel en « quelques heures, voire quelques minutes ».
Deux millions de services toujours vulnérables
Cependant, prévient Vincent Strubel, le patron de l’Anssi, « l’IA n'est a priori pour rien dans le caractère chaotique de l'alerte qui prend tout le monde au dépourvu ». Si c’est un outil basé sur l’intelligence artificielle qui a permis de repérer ces failles dans PHP que personne n’avait vu, « il semblerait que ce soit un bon vieux quiproquo » autour du tempo dans la divulgation des failles qui a semé le bazar.
Quoiqu'il en soit, selon l’entreprise Censys, qui a mis en place une page de suivi de la faille, il restait encore 34 millions de services PHP vulnérables au dernier scan. Près de 7 millions de services auraient déjà été mis à jour. Toujours selon son décompte, plus de 2 millions de services PHP seraient toujours vulnérables dans l’Hexagone, faisant de la France le troisième pays le plus concerné.
Seuls près de 290 000 instances ont été mises à jour pour l’instant dans le pays de Molière. Autant dire que les messages « site en maintenance » ont encore de beaux jours devant eux.