1,5 milliard de sites web exposés à des failles mortelles

Pourquoi ça devrait vous réveiller en sursaut

PHP, c’est le ciment invisible d’Internet. Vous ne le voyez pas, mais sans lui, Facebook, WordPress, Wikipedia, ou même la moitié des sites e-commerce s’effondreraient. Ces failles, baptisées CVE-2024-4577, CVE-2024-4578 et CVE-2024-3400, permettent à un attaquant d’exécuter du code à distance. En clair : il suffit d’une requête malveillante pour transformer votre serveur en jouet. Et le plus rageant ? Ces failles existent depuis des années. Elles ont été repérées par des chercheurs en sécurité, dont Huntr et SonarSource, qui les ont signalées aux développeurs de PHP. Sauf que, comme souvent, les correctifs mettent du temps à se déployer. Résultat : entre le moment où une faille est connue et celui où les utilisateurs mettent à jour, des milliers de sites restent en danger. Parfois des mois.

Prenez l’exemple de WordPress, qui utilise PHP. En 2021, une faille similaire (CVE-2021-29447) avait permis à des pirates de pirater des milliers de sites via des plugins mal sécurisés. Cette fois, c’est pire : les failles sont plus profondes, plus faciles à exploiter. Et contrairement à une attaque ciblée, là, n’importe qui peut s’y mettre. Un script automatisé, un peu de patience, et hop : votre base de données est à vous.

Qui est vraiment en danger ?

Vous pensez que ça ne vous concerne pas ? Détrompez-vous.

• Les petits sites : ceux qui n’ont pas les moyens d’un expert en sécurité. Ceux dont le propriétaire croit que « ça n’arrivera pas à un site comme le mien ». Sauf que si. Un tiers des sites WordPress, par exemple, ne sont même pas mis à jour régulièrement. Ces failles, c’est comme laisser votre porte de garage ouverte en espérant que personne ne passera par là.

• Les entreprises qui sous-traitent leur hébergement : celles qui confient leur infrastructure à des sociétés low-cost, sans audit de sécurité. Parce que oui, même si vous mettez à jour PHP sur votre serveur, si votre hébergeur traîne des pieds, vous êtes quand même exposé.

• Les plateformes qui stockent des données sensibles : pas seulement les banques ou les assurances. Les sites de santé qui gèrent des dossiers médicaux, les associations qui collectent des données personnelles, les marketplaces qui traitent des transactions… Une faille PHP, c’est comme une porte de service mal fermée : ça donne accès à tout.

Et le plus ironique ? Les pirates ne s’en donnent même pas la peine. Des groupes comme NSA ou ANSSI (l’agence française de cybersécurité) ont déjà alerté sur le risque. Mais les attaques massives, elles, viennent souvent de scripts automatisés, écrits par des hackers amateurs ou des groupes organisés qui balayent Internet à la recherche de failles faciles. Une étude de Cisco en 2023 estimait que 60 % des cyberattaques exploitaient des vulnérabilités connues depuis plus d’un an. Ces failles PHP en font partie.

Pourquoi personne ne panique ?

Parce que la cybersécurité, c’est comme le dentiste : tout le monde sait que c’est important, mais personne n’y va avant d’avoir mal.

D’abord, il y a la fausse impression de sécurité. Beaucoup de développeurs pensent que « ça ne nous arrivera pas ». Surtout quand leur site tourne depuis des années sans problème. Sauf que les pirates ne ciblent pas les sites forts. Ils ciblent les sites faciles. Et un site avec une version obsolète de PHP, c’est du gâteau.

Ensuite, il y a l’illusion du contrôle. « On a un pare-feu ! » « On fait des sauvegardes ! » Oui, mais un pare-feu ne sert à rien si l’attaquant arrive par derrière. Et des sauvegardes, ça ne protège pas contre une prise de contrôle en direct.

Et puis, il y a la paresse. Mettre à jour PHP, c’est comme faire une révision auto : ça prend du temps, ça peut casser des fonctionnalités, et au final, « ça marche encore ». Sauf que non. Ça marche jusqu’à ce que ça marche plus.

Ce qui se passe quand on ne met pas à jour

Prenez Heartbleed, en 2014. Une faille dans OpenSSL qui a exposé des millions de serveurs. Résultat ? Des données de santé volées, des mots de passe dérobés, des sites entiers détournés. Et tout ça parce que des milliers d’administrateurs avaient ignoré les mises à jour. Aujourd’hui, c’est PHP qui est dans le collimateur. Et les conséquences peuvent être bien pires.

• Vol de données : bases clients, historiques de commandes, informations bancaires. En 2022, une faille dans un plugin WordPress a permis à des pirates de voler les données de plus de 100 000 sites. Avec ces nouvelles failles, le nombre pourrait être bien plus élevé.

• Ransomware : des pirates qui verrouillent vos données et demandent une rançon. Sauf que là, ils n’ont même pas besoin de pirater votre site pour commencer. Ils peuvent s’installer directement via PHP.

• Détournement de site : imaginez que votre site affiche soudain des pubs pour des médicaments douteux, ou pire, redirige vos visiteurs vers un faux formulaire de connexion. Ça s’est déjà vu. Et ça se reproduira.

Ce qui change avec cette alerte

Cette fois, les développeurs de PHP n’ont pas tergiversé. Ils ont sorti un correctif d’urgence, et ils ont été clairs : « Mettez à jour. Maintenant. » Pas de « si possible », pas de « nous ferons de notre mieux ». Un ordre sec, comme un médecin qui dit « Opérez-le tout de suite ».

Pourquoi ce ton sans appel ? Parce que ces failles sont exploitables sans interaction. Autrement dit, un pirate n’a même pas besoin que vous cliquiez sur un lien pour infecter votre système. Il suffit qu’il envoie une requête malveillante à votre serveur, et hop : jeu terminé.

Et puis, il y a l’effet domino. Si un seul site mal sécurisé est compromis, les pirates peuvent l’utiliser comme point d’entrée pour attaquer d’autres systèmes. C’est comme une infection qui se propage. Sauf qu’ici, c’est votre réputation, vos données, et celles de vos clients qui sont en jeu.

Ce qui ne changera pas

Le problème, c’est que rien ne changera vraiment. Parce que la plupart des sites continueront à ignorer les mises à jour. Parce que les hébergeurs low-cost continueront à proposer des serveurs obsolètes. Parce que les entreprises continueront à croire que « ça n’arrivera pas à notre secteur ».

Prenez Magecart, ce groupe de pirates qui a volé des millions de cartes bancaires en injectant du code malveillant dans des sites e-commerce. Leur méthode ? Exploiter des failles dans des plugins ou des versions obsolètes de PHP. Résultat ? Des centaines de millions de dollars de pertes pour les commerçants. Et des milliers de clients dont les données ont été exposées.

Ce qui se joue derrière

Derrière ces failles, il y a une économie de la négligence.

• Les hébergeurs qui ne poussent pas assez leurs clients à mettre à jour.
• Les agences web qui installent des versions de PHP dépassées pour « des raisons de compatibilité » (souvent inventées).
• Les entreprises qui priorisent le coût à court terme plutôt que la sécurité.

Et puis, il y a l’asymétrie du risque. Pour un pirate, exploiter une faille PHP, c’est rapide, peu coûteux, et souvent impuni. Pour une victime, c’est une catastrophe qui peut mettre des années à se réparer.

Ce qu’il faut faire, vraiment

1. Vérifiez votre version de PHP. Allez sur votre serveur, tapez php -v, et regardez la réponse. Si vous avez PHP 8.1 ou moins, vous êtes en danger. La version corrigée est PHP 8.2.21 ou 8.1.28. Mettez à jour. Maintenant.

2. Vérifiez votre hébergeur. Si vous utilisez un hébergement mutualisé (type OVH, Hostinger, etc.), contactez-les. Demandez-leur quand ils vont appliquer le correctif. S’ils vous répondent « Dans quelques semaines », changez d’hébergeur. Un hébergeur digne de ce nom doit avoir mis à jour ses serveurs dès mercredi.

3. Faites un audit de sécurité. Un simple scan avec Nessus ou OpenVAS peut détecter si votre site est vulnérable. Si vous ne savez pas comment faire, payez un expert. 200 euros pour éviter une catastrophe, c’est un bon investissement.

4. Ne vous fiez pas aux pare-feu. Un pare-feu ne sert à rien si l’attaquant arrive par une faille logicielle. La sécurité, ça se fait par couches. Mises à jour + sauvegardes chiffrées + surveillance des logs.

5. Préparez un plan de crise. Parce que si vous êtes piraté, vous voulez savoir quoi faire. Qui contacter ? Comment isoler le problème ? Comment informer vos clients ? Avoir un plan, c’est déjà gagner du temps.

Le vrai problème, c’est que ça ne suffira pas

Mettre à jour PHP, c’est comme brosser ses dents : ça réduit les risques, mais ça ne les élimine pas. Le vrai danger, c’est l’effet d’accumulation. Un site mal sécurisé aujourd’hui, c’est une faille potentielle demain. Et dans quelques années, quand les pirates auront automatisé l’exploitation de ces failles, ce ne seront plus des attaques ciblées, mais des cyber-épidémies.

Déjà, en 2023, 45 % des cyberattaques visaient des failles connues et non corrigées (rapport Verizon DBIR). Avec PHP, on est en train d’ajouter trois nouvelles failles à cette liste. Trois failles qui pourraient rester exploitables pendant des années.

Ce qui va se passer maintenant

Dans les prochains mois, attendez-vous à :

• Une augmentation des attaques contre les sites utilisant PHP non mis à jour.
• Des fuites de données massives, surtout sur les petits sites et les plateformes mal sécurisées.
• Des demandes de rançon ciblant les entreprises qui n’ont pas protégé leurs serveurs.

Et dans quelques années, quand ces failles seront toujours là parce que personne n’aura daigné les corriger, on lira dans les médias : « Une faille vieille de 5 ans a permis à des pirates de voler les données de X entreprises ». Sauf que cette fois, ce sera votre entreprise.

La dernière chose à savoir

PHP n’est pas le seul langage en danger. Java, Python, même Node.js ont leurs failles. La cybersécurité, c’est un combat sans fin. Mais là, tout de suite, vous avez une mission : vérifier votre version de PHP. Mettre à jour. Et ne pas attendre que ce soit trop tard.

Parce que le pire dans tout ça, ce n’est pas la faille. C’est l’indifférence. Celle qui fait qu’on ignore les alertes, qu’on repousse les mises à jour, qu’on croit que « ça n’arrivera pas ». Sauf que si. Et quand ça arrivera, ce ne sera pas une surprise. Ce sera une évidence.

Et ça, c’est pire qu’une faille.