Des failles de sécurité majeures révélées: des pays du monde entier bloquent des sites Web

Des agences gouvernementales et des entreprises privées de plusieurs continents ont mis leurs sites Web hors ligne mercredi après la révélation de deux failles de sécurité critiques dans PHP, un langage de programmation qui prend en charge une partie substantielle de l'infrastructure Web mondiale. L'arrêt immédiat des services numériques a eu lieu après que des détails concernant les failles ont été divulgués publiquement mardi, ce qui a entraîné des mesures de défense d'urgence avant la publication officielle d'un correctif.

Les vulnérabilités permettent aux attaquants d'obtenir un accès non autorisé aux fichiers du serveur ou aux bases de données et d'exécuter du code à distance sans authentification, ce qui constitue une grave menace pour les systèmes allant des magasins de détail en ligne et des portails d'information aux services essentiels de l'État. L'Agence de sécurité nationale des États-Unis a publié une rare directive publique exhortant les organisations à corriger immédiatement les systèmes vulnérables ou à les supprimer du réseau. Dans une déclaration publiée sur la plateforme de médias sociaux X, l'agence a noté que les défauts fournissent fréquemment une voie directe vers le système de fichiers ou la base de données d'un serveur. Les attaquants pourraient exploiter ces failles pour prendre le contrôle des serveurs Web sans avoir besoin de mots de passe.

La NSA a conseillé à toutes les entités utilisant PHP de se préparer à une mise à jour visant à corriger les deux vulnérabilités critiques avec effet immédiat. D'autres organismes, dont l'équipe d'intervention en cas d'urgence informatique de l'Union européenne et le Centre national de cybersécurité du Royaume-Uni, ont émis des alertes similaires recommandant l'identification des systèmes affectés et l'installation de mises à jour. Les vulnérabilités, collectivement appelées PHP2Shell, ont été identifiées à l'aide de modèles d'intelligence artificielle avancée. Wiz a estimé que PHP alimente environ 70% des sites Web dans le monde.

La société a décrit les découvertes comme étant parmi les vulnérabilités les plus graves trouvées dans PHP, et sans doute dans l'histoire du logiciel. Bien que les failles de code sous-jacentes existent depuis des décennies, Wiz a déclaré que prouver leur exploitabilité nécessitait une séquence complexe d'étapes près de la limite de ce que les chercheurs humains pouvaient pratiquement réaliser. Les bénévoles qui maintiennent le langage PHP ont publié un correctif mercredi. La Fondation PHP, une organisation à but non lucratif qui finance les développeurs travaillant sur le langage, a exhorté les utilisateurs à mettre à jour leurs systèmes immédiatement. Sur son blog, la fondation a déclaré que la mise à jour est impérative pour quiconque utilise PHP.

Volker Dusch, ingénieur en sécurité à la Fondation PHP, a déclaré au Wall Street Journal que cela représente le problème le plus grave auquel PHP a été confronté depuis plus d'une décennie. Il a comparé la situation à Heartbleed, une erreur de sécurité de 2014 qui a déclenché une course mondiale pour corriger les systèmes. La fuite de détails techniques mardi a accéléré la réponse à la crise. Avant la fuite, les développeurs avaient été informés de manière confidentielle, et les informations sont restées secrètes pendant le développement du correctif. L'exposition prématurée a forcé les gouvernements à agir préventivement.

En France, le ministère de l'Intérieur a annoncé que les sites Web des gouvernements locaux, y compris le site de la police de Paris, étaient devenus inaccessibles mercredi après-midi à la demande de l'Agence nationale de cybersécurité française. Aux Pays-Bas, le service national d'identité numérique DigiD, le site Web de la Chambre des représentants et même le site du Centre national de cybersécurité ont été mis hors ligne par précaution, selon le radiodiffuseur public néerlandais NOS. Le ministère fédéral allemand de la transformation numérique et de la modernisation du gouvernement a confirmé qu'il avait mis certains sites Web hors ligne à titre préventif.

L'Office fédéral allemand de la sécurité de l'information a averti que les vulnérabilités représentaient une menace pour les applications Web à l'échelle mondiale. Des rapports indiquent que de nombreuses administrations publiques, universités et hôpitaux en Allemagne ont retiré leurs pages d'Internet. En Belgique, le ministère des Affaires étrangères a temporairement désactivé ses sites Web, bien que le centre national de cybersécurité n'ait signalé aucune attaque enregistrée sur les sites belges. Le gouvernement tchèque a également suspendu ses sites Web pour mettre en œuvre des mesures de protection. au site était parmi les pages gouvernementales touchées par les failles. La Première ministre du Japon, Sanae Takaichi, a publié sur les réseaux sociaux pour mettre en garde les citoyens contre le risque de PHP.

Les autorités finlandaises ont également confirmé avoir fermé des sites Web spécifiques pour appliquer le correctif de sécurité. L'incident met en évidence une tendance plus large dans la sécurité logicielle, où des modèles d'IA de plus en plus capables découvrent des vulnérabilités à un rythme rapide. Le nombre de vulnérabilités découvertes en 2026 devrait être environ le double du total record de l'année précédente. OpenAI a caractérisé le bogue comme l'une des vulnérabilités les plus percutantes de la mémoire récente, indiquant qu'il marque une nouvelle phase où l'IA peut identifier des bugs de sécurité avec un impact à l'échelle d'Internet.

Ethan Mollick, professeur à la Wharton School de l'Université de Pennsylvanie qui étudie l'intelligence artificielle, a observé que les entreprises ont du mal à suivre la vitesse requise pour installer des correctifs de sécurité contre les cyberattaques pilotées par l'IA. Il a noté que les consommateurs seront probablement confrontés à des demandes fréquentes et urgentes de mises à jour du système à l'avenir. La dépendance généralisée à l'égard de PHP signifie que l'impact potentiel s'étend bien au-delà des secteurs gouvernementaux, affectant les entités commerciales et les utilisateurs individuels qui comptent sur le langage pour leur présence numérique.

La réponse mondiale coordonnée souligne le caractère critique des failles et le rôle croissant des outils automatisés pour découvrir et exploiter les faiblesses des logiciels.