Le 21 octobre, une partie de l’Internet français est tombée. Impôts, Météo-France, la CNIL, certaines préfectures, des universités, des collectivités… Une avalanche de sites publics affichaient une page de maintenance, et même les valideurs des TER des Hauts-de-France ont cessé de fonctionner. Une fois n’est pas coutume, il n’était pas question de cyberattaque géante, mais d’une précaution d’urgence face à deux failles jugées assez graves pour justifier de tout débrancher. Une semaine plus tard, tout est revenu à la normale, ou presque.
PHP2Shell, la faille qui ne voulait pas partir
Les deux vulnérabilités en question, surnommées PHP2Shell ont touché l’un des langages les plus répandus du Web, qui fait tourner une bonne partie des sites de la planète. Découvertes récemment, les failles en question permettaient à un attaquant de prendre le contrôle d’un serveur à distance, sans mot de passe, en lui envoyant simplement des requêtes piégées. Les correctifs sont sortis le 21 octobre, et la suspension des sites en question avait pour objectif de sécuriser la situation avant leur déploiement, conformément aux recommandations de l’Anssi. Depuis, les sites ont été mis à jour. Mais dans une prise de parole relayée par l’AFP ce mercredi 28 octobre, l’agence a tenu à doucher l’optimisme ambiant : « Il ne faut pas pour autant considérer que le problème est définitivement résolu ».
Le danger est ailleurs
Car PHP ne vit pas que sur les serveurs des sites Web. Il est aussi embarqué dans une foule d’appareils du quotidien, notamment pour faire tourner leur interface d’administration. Routeurs, pare-feu, NAS, caméras de surveillance, objets connectés… Selon l’ANSSI, plus de 660 000 adresses IP et potentiellement plus de 6 millions d’applications utilisent PHP en France. Et contrairement à un site Web géré par un hébergeur, ces équipements ne seront protégés que lorsque leur fabricant aura publié un correctif, et que leur propriétaire l’aura installé.
Côté grand public, ce sont surtout les NAS, ces serveurs de stockage domestiques, qui sont en première ligne. Bonne nouvelle pour une majorité d’internautes : les box des opérateurs sont mises à jour à distance, ce qui leur permettra d’être mise à jour sans intervention.
Que faire, concrètement ? Le premier réflexe est de mettre à jour tout appareil doté d’une interface Web : NAS, caméras, routeur ou répéteur Wi-Fi acheté séparément. Le second consiste à limiter leur exposition à Internet et les accès à distance inutilisés. Pour les appareils qui ne reçoivent plus de mises à jour, la seule solution durable est de les garder hors d’Internet, voire de les remplacer.