Faille critique de PHP : préfectures et impôts hors ligne

Les sites internet de la quasi-totalité des préfectures françaises sont restés inaccessibles mercredi 21 octobre dans l'après-midi. Celui de la préfecture de police de Paris figure parmi les plus visibles touchés par cette coupure.

Le ministère de l'Intérieur a confirmé avoir agi « à la demande de l'Anssi », l'agence nationale de la sécurité des systèmes d'information. La coupure fait suite à la détection d'une faille critique affectant un composant logiciel très répandu.

Une mise en maintenance décidée par l'Anssi

Selon le ministère, cette décision vise à protéger les services publics avant l'arrivée d'un correctif.

« À la demande de l'Anssi, le ministère de l'Intérieur a procédé à la mise en maintenance préventive de l'ensemble de ses sites internet exposés à une vulnérabilité critique de sécurité, annoncée il y a quelques heures par l'éditeur d'un composant logiciel générique, largement utilisé à travers le monde », Ministère de l'Intérieur.

Dans l'attente, les préfectures ont prévenu qu'elles communiqueraient autrement. « Les publications des préfectures seront faites sur les réseaux sociaux et par voie d'affichage », a précisé la place Beauvau. Météo-France a lui aussi suspendu l'accès à son site « par mesure de précaution », invitant ses usagers à suivre ses réseaux sociaux pour l'information de sécurité météorologique.

Deux vulnérabilités notées 9,2 sur 10

La faille en cause touche PHP, un langage de programmation qui fait tourner une large partie du web mondial, notamment les sites construits avec WordPress, Drupal, Joomla ou Magento. La fondation qui développe ce langage a identifié deux vulnérabilités critiques, capables de permettre « l'exécution de code à distance sans authentification », selon ses propres termes.

« Ces vulnérabilités pourraient conduire à l'exécution de code à distance sans authentification », Fondation PHP.

Ces deux failles sont notées 9,2 sur 10 sur l'échelle de gravité de référence utilisée par les professionnels de la cybersécurité. L'une concerne précisément le téléchargement de fichiers sur un site : un document piégé pourrait suffire à un pirate pour exécuter du code à distance sur le serveur visé, sans y avoir physiquement accès.

Un nombre de serveurs exposés très élevé

L'ampleur du risque explique la réaction rapide des autorités françaises et étrangères. En France, les sites des impôts, du ministère de l'Économie, du journal Les Echos et de Challenges ont eux aussi été rendus temporairement inaccessibles. Des plateformes gouvernementales ont également été suspendues au Royaume-Uni, en Allemagne, au Danemark, aux Pays-Bas, en Finlande et en Belgique.

Le site spécialisé W3Techs estime qu'environ 70 % des sites dont la technologie serveur est connue reposent sur ce langage. Les versions vulnérables n'ont pas encore été précisément établies par les développeurs, qui évoquent un risque pour toutes les versions publiées depuis PHP 5.

Un correctif publié, un retour progressif

La fondation PHP avait donné l'alerte mardi soir, annonçant un correctif pour le lendemain 16 heures, heure de Paris. Ce correctif a bien été mis en ligne mercredi à l'heure prévue. Les versions corrigées sont les 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

L'afflux massif de téléchargements a toutefois ralenti le déploiement de la mise à jour. Toutes les administrations ne pourront donc pas remettre leurs sites en ligne immédiatement, la durée de chaque coupure dépendant des opérations techniques propres à chaque serveur. Le ministère de l'Intérieur a assuré que ses équipes restaient mobilisées pour appliquer la mise à jour « dans les meilleurs délais ».

L'agence américaine NSA et le Centre national britannique de cybersécurité avaient de leur côté recommandé mercredi à tous les sites utilisant PHP de se déconnecter avant d'avoir installé le correctif. En France, le CERT-FR, qui a déclenché l'alerte initiale, a formulé la même recommandation aux organisations incapables d'appliquer la mise à jour sans attendre.