Tech et nature
Trois lettres qui ont éteint le web
Deux failles vieilles de vingt ans dans PHP, trouvées par une IA.
· N° 5
Mercredi matin, le site de la préfecture de police affichait « en maintenance ». Comme ceux des préfectures, de la CNIL, du gouvernement finlandais, de services publics britanniques, allemands ou belges, et comme Wikipédia ou 4chan. La cause tient en trois lettres : PHP, le langage de 69,3 % des sites dont on connaît la technique, selon W3Techs.
Deux failles, notées 9,2 sur 10 sur l’échelle CVSS, permettent de prendre la main sur un serveur. Elles dormaient dans le code depuis une vingtaine d’années : les exploiter demandait une chaîne « à la limite de ce que des chercheurs humains pouvaient faire », écrit la société Wiz. Des outils d’IA les ont débusquées dès août, d’après le Wall Street Journal, et OpenAI en revendique la découverte. Un message sur Hacker News a forcé PHP à publier ses correctifs mercredi à 16 heures, un jour plus tôt que prévu. Cloudflare voyait déjà passer les premières attaques.
Vingt ans dans le code, trois mois pour une IA
La NSA, le centre britannique de cybersécurité et le CERT européen ont dit la même chose : si vous ne pouvez pas mettre à jour, débranchez. L’Intérieur a obéi à l’Anssi, et les préfectures ont publié leurs arrêtés « par voie d’affichage ».
Les machines trouvent les fissures que personne ne voyait, et ce sont encore des humains qui rebouchent, un serveur après l’autre. Combien de sites tournent encore, ce matin, sur la version d’hier ?