« Researchers at security firms Calif and Wiz discovered vulnerabilities in PHP.&quot

Des chercheurs ont découvert de graves vulnérabilités dans le langage de programmation PHP qui affectent des millions de sites web à travers le monde.

De sérieuses failles de sécurité sont restées cachées pendant plus d’une décennie dans le code de PHP. Ce langage est utilisé internationalement depuis les années 2000 pour concevoir des sites web.

Les failles permettent à des attaquants de prendre le contrôle de serveurs web sans authentification. Elles permettent aussi de dérober des données sensibles, comme l’a expliqué Paul Spain, directeur général de Gorilla Cyber Security, à la BBC.

Les répercussions sur Wikipédia, les gouvernements et les services publics

L’alerte a provoqué des perturbations mondiales, touchant des plateformes de jeux, des portails gouvernementaux et des forums en ligne.

Wikimedia, l’organisation à l’origine de l’encyclopédie en ligne Wikipedia, a suspendu plusieurs de ses systèmes à titre précautionneux.

Des sites et des pages ont également été retirés d’Internet par le gouvernement finlandais, le conseil d’Edinburgh, la BBC, l’agence néerlandaise de cybersécurité ainsi que l’Université de Genève.

En Écosse, plusieurs organisations publiques, incluant des conseils et des autorités sanitaires, ont éteint leurs sites web.

La firme de cybersécurité Wiz, dont les chercheurs ont découvert les failles, qualifie ces vulnérabilités de the most severe jamais détectées par l’intelligence artificielle.

OpenAI, dont la technologie a servi à repérer ces points faibles, a qualifié la découverte de one of the most impactful security issues in recent memory dans un billet de blog.

La course mondiale aux correctifs et aux mesures d’urgence

All PHP users are strongly encouraged to update immediately, a indiqué l’entreprise. Les autorités de plusieurs pays ont réagi en conséquence.

Ces risques sont suffisamment graves pour exiger l’application immédiate de correctifs dans l’ensemble des départements et agences du gouvernement des États-Unis.

National Security Agency (NSA)

La National Security Agency américaine a conseillé à toutes les organisations utilisant PHP de couper leurs systèmes si elles ne pouvaient pas appliquer le correctif sur-le-champ.

La faille offrait un direct path vers l’exploitation de la base de données d’un système, selon cette même agence.

Le Centre national de cybersécurité du Royaume-Uni a formulé des recommandations similaires, invitant à vérifier la présence de portes dérobées installées par des assaillants. Des alertes comparables ont été diffusées par l’Union européenne et l’Australie.

Au Japon, la Première ministre Sanae Takaichi a publié un message urgent sur X : We have an urgent request for everyone to take action tonight. If it is difficult to apply the fix patch promptly, temporarily suspending websites and similar measures can be considered an effective way to reduce risk.

L’intelligence artificielle détecte les failles cachées

Les vulnérabilités ont été identifiées par des chercheurs de l’entreprise de sécurité Calif. Des chercheurs de l’entreprise Wiz ont également participé à cette identification.

Ils ont utilisé des outils d’intelligence artificielle avancés capables d’analyser le code bien plus rapidement que les humains ou les systèmes plus anciens.

Salil Kanhere, chercheur en cybersécurité à UNSW Sydney, a souligné que les bugs sous-jacents n’étaient pas nouveaux : what changed was our ability to find them.

Des détails sur cette découverte ayant fuité en ligne, les développeurs de PHP ont dû précipiter l’annonce de la faille et de sa vaste échelle.

Selon Ryan Ko, du Centre de recherche en cybercriminalité de l’Université du Queensland, beaucoup de ces vulnérabilités découlent de la manière dont les logiciels étaient conçus par le passé. Ces conceptions privilégiaient la fonctionnalité au détriment de la sécurité.