Deux vulnérabilités qualifiées de critiques dans PHP, le langage côté serveur largement utilisé sur le Web, ont entraîné mercredi 21 octobre la fermeture préventive de plusieurs sites publics et de plateformes majeures, y compris la CNIL et des sites de préfectures. Les correctifs ont été diffusés, mais leur installation sur les serveurs restait en cours en fin de journée.
Quelles actions des autorités et administrations ?
Selon un relevé publié au fil de la journée par Selectra, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a demandé la mise en maintenance préventive des sites exposés à la vulnérabilité. Le ministère de l'Intérieur a, d'après franceinfo, procédé à la mise en maintenance de l'ensemble de ses sites concernés à la demande de l'ANSSI.
« À la demande de l'Anssi, le ministère de l'Intérieur a procédé à la mise en maintenance préventive de l'ensemble de ses sites internet exposés à une vulnérabilité critique de sécurité », a indiqué le ministère à franceinfo.
Parmi les services publics affectés figuraient des sites de préfectures, impots.gouv.fr et la CNIL, qui ont toutes affiché des pages de maintenance ou limité certaines fonctions. Selectra rapporte également que plusieurs autres sites, nationaux ou internationaux, ont interrompu l'accès par précaution.
Chronologie et diffusion du correctif
La PHP Foundation avait annoncé la sortie d'une version corrective ; la publication effective d'une mise à jour (PHP 8.5.12) est intervenue plus tôt que prévu, selon plusieurs sources relayées par la presse spécialisée. Néanmoins, la disponibilité du correctif ne suffit pas : il doit être installé sur les serveurs des organismes et des plateformes pour lever le risque d'exploitation.
- Mesure préventive : coupure ou mise en maintenance des sites jugés exposés.
- Correctif publié : diffusion d'une mise à jour de PHP; installation demandée sur les serveurs.
- Impact utilisateur : services indisponibles ou fonctionnellement limités (par ex. impossibilité de création de comptes).
Services touchés et conséquences pour les usagers
À 21 h 24, Selectra indiquait que certains sites publics commençaient à rouvrir tandis que d'autres, notamment des préfectures et des plateformes administratives importantes, restaient en maintenance. Le site Mon Parcours Handicap a, à un moment donné, précisé que « la création de compte Mon Parcours Handicap est temporairement indisponible », témoignant de l'impact concret pour des démarches administratives.
| Type de site | Exemples cités | Conséquence observée |
|---|---|---|
| Autorités de régulation | CNIL | Mise en maintenance |
| Services fiscaux et préfectures | impots.gouv.fr, préfectures | Pages de maintenance, indisponibilité |
| Plateformes diverses | 4chan, DeviantArt, etc. | Service suspendu par précaution |
Des entreprises de sécurité et des acteurs de l'infrastructure Web ont signalé des tentatives d'attaque dans la foulée de l'annonce des failles, ce qui a renforcé l'urgence des mises à jour. Plusieurs médias techniques ont noté que, malgré la disponibilité du correctif, la fenêtre d'exposition restait significative tant que des serveurs n'avaient pas été mis à jour.
Réactions des acteurs techniques
La PHP Foundation avait prévenu de la publication d'une version corrective et décrit les vulnérabilités comme sévères. Des sociétés de cybersécurité ont indiqué que des informations avaient circulé avant la mise à jour, ce qui a poussé certains opérateurs à couper l'accès à leurs sites dès l'apparition de fuites d'information. Aucune compromission n'avait toutefois été rendue publique au moment des premiers comptes rendus.
Pour comprendre
L'ANSSI est l'autorité nationale chargée de la sécurité des systèmes d'information ; elle peut recommander ou ordonner des mesures de protection préventives aux administrations pour réduire les risques d'attaques informatiques. Lorsqu'une vulnérabilité critique est identifiée dans un logiciel largement utilisé, la diffusion d'un correctif ne met pas fin au risque tant que l'ensemble des serveurs concernés n'a pas appliqué la mise à jour.
