La faille PHP qui met des milliers de sites web à l’arrêt (🔎 Zoom Tech)

[0:01] Des milliers de sites web à travers le monde suspendus, coupés, éteints, désactivés. [0:08] Des sites officiels de l'administration, notamment en France, le site des impôts, des sites médias, des gros, des petits. Tout cela à cause d'une faille, la fameuse faille dans le langage PHP. Panique à bord cette semaine en matière de sécurité informatique avec ce qui s'est passé mardi et mercredi. Tout un pan de l'Internet mondial a été débranché parce qu'on a découvert des failles critiques dans PHP, ce langage informatique qui fait fonctionner environ 70% des sites mondiaux. Aux États-Unis, par exemple, la NSA a lancé une alerte. Au Japon, la première ministre a pris la parole pour alerter la population. En France, l'ANSI, l'agence de sécurité des systèmes d'information, a également lancé une alerte auprès de tous les grands opérateurs, mais également les petits ? Et plusieurs ministères, notamment, ont dû désactiver leur plateforme en urgence. C'est pour ça que ces derniers jours, vous avez peut-être eu du mal à vous connecter à certains sites de démarches officielles ou certains portails de ministères. Des millions de données personnelles seraient en effet exposées. Alors de quoi est-ce qu'on parle ? PHP, ce langage qui veut dire Pretty Home Privacy, c'est un vieux langage informatique. [1:24] Est utilisé par, je l'ai dit, environ les deux tiers du web mondial, 70%. Il fait tourner d'innombrables back-office, c'est-à-dire c'est ce qu'on ne voit pas, c'est ce qui se passe côté serveur. PHP, c'est un langage très puissant, très pratique, qui fait le lien entre les informations stockées dans une base de données et ce qui s'affiche sur l'écran. Ce langage n'est pas présent sur l'ordinateur des utilisateurs, il est présent uniquement au niveau des serveurs. Donc il permet grosso modo de faire communiquer le site, la partie visible, avec tout ce qu'il y a derrière. Et les failles qui ont été découvertes sont potentiellement gravissimes puisqu'elles permettent à n'importe qui, en les exploitant, d'aller exécuter du code informatique sur une machine ou un serveur distant sans y accéder physiquement. Avec toutes les conséquences qu'on peut imaginer, fouiller dans les bases de données, voler des informations, y compris voler des données financières, etc., des fichiers clients, des choses comme ça. [2:20] Et ce qui est étonnant dans cette affaire, c'est toute l'histoire qui se cache derrière. Alors en fait, essayons de résumer. Cette fameuse faille dans PHP ne date pas d'hier. Elle a été découverte en 2024. Mais à ce moment-là, elle n'a pas été traitée, car elle a été jugée par les experts, pas tellement grave, car non exploitable. En fait, on avait découvert un trou de sécurité, mais ça semblait tellement compliqué de pouvoir l'utiliser pour mener de mauvaises actions qu'on s'est dit, on verra ça plus tard. Et puis, en août dernier, août 2026, on a découvert un chemin pour exploiter cette faille, grâce à l'intelligence artificielle, grâce notamment à ChatGPT 5.6 SOL. On sait que l'IA permet de faire des bonds de géants en matière de cybersécurité, en bien ou en mal. Et bien là, c'est un des chercheurs de la société spécialisée WIZ, qui a utilisé le modèle de ChatGPT spécialisé en cyber, ainsi que deux autres sociétés, la société Calife, également spécialisée dans le hacking, le hacking éthique, et puis OpenAI, la maison mère de Tchad GPT. Donc tous ces chercheurs ont découvert qu'en fait, grâce à l'IA, on pouvait construire un scénario d'attaque tirant parti de ces fameuses failles. [3:31] Qu'est-ce qui s'est passé à ce moment-là, août 2026 ? Les chercheurs se sont dit, là, on n'a plus le choix, il faut développer un correctif. Alors ils se sont mis au travail, et cela dans le plus grand secret, afin que le mode opératoire ne fuite pas. Et ils ont commencé à développer ce correctif, mais c'était très compliqué parce qu'en fait, il faut retoucher le moteur, véritablement le cœur de PHP. Et ensuite, tout récemment, mardi 20 octobre. [3:59] Les fameuses failles ont fuité sur un site de hacking, Hacker News. Alors là, branle-bas de combat, car l'affaire est devenue publique. [4:07] La PHP Fondation, qui gère l'évolution de ce langage, a confirmé le problème, a lancé une alerte mondiale. Ces deux failles critiques de PHP ont été notées 9,2 sur 10 sur une échelle réservée à l'évaluation de ce type de menaces. C'était donc mercredi 21 octobre. tous les sites PHP se sont retrouvés potentiellement vulnérables. La mesure à prendre, c'était donc de tout arrêter. C'est ainsi que tous les opérateurs de sites web concernés ont préféré suspendre, couper l'accès à leur site. Et c'est pour ça que vous ne pouviez plus vous connecter, notamment sur le site des impôts ou sur d'autres sites web. Couper les sites, le temps de trouver la solution, c'est-à-dire le temps que la fondation PHP corrige cette faille, la déploient et que les administrateurs, [4:57] réseaux partout dans le monde puissent faire les mises à jour. Alors, tout le monde est concerné, c'est ça qui est fou, les gros sites comme les petits, parce que PHP, encore une fois, je le répète, ça fait tourner des millions de sites, et notamment via ce qu'on appelle les CMS, ces plateformes qui permettent de créer facilement des sites web. Exemple WordPress, Drupal, Joomla, vous avez peut-être vous-même un ou plusieurs sites web que vous avez créés en utilisant WordPress, par exemple, qui est le système le plus connu au monde, eh bien donc, vous êtes concerné. Le problème, c'est que vous ne pouvez rien faire vous-même, puisque ça ne se passe pas au niveau de WordPress, ça se passe véritablement au niveau du langage. [5:35] Qui fait tourner WordPress. Donc, c'est l'hébergeur qui, lui, doit faire la mise à jour PHP avec la nouvelle version corrigée pour corriger WordPress, et ensuite, ça sécurisera votre site web. Le correctif est désormais disponible au téléchargement et pour les responsables informatiques du monde entier, c'est la course contre la montre. Parce que tant que leurs systèmes ne sont pas mis à jour, tous les sites restent exposés potentiellement aux attaques. [6:01] Quel sera l'impact de cette véritable crise mondiale ? On ne sait pas encore exactement, parce que même si les chercheurs ont quand même travaillé assez vite, On ne sait pas si, les administrateurs auront, les responsables, les hébergeurs auront déployé assez vite les fameux correctifs. Peut-être qu'entre-temps, leurs sites ont été attaqués. [6:24] On ne sait pas. D'ailleurs, des attaques ont déjà été signalées, mais on n'a absolument aucune visibilité sur l'ampleur exacte de ce phénomène. Ce qu'on sait, c'est que dans le milieu du hacking, il y a un mode d'emploi très précis qui sera en préparation même et qui, s'il est diffusé et s'il y a encore des sites vulnérables, permettra à n'importe qui, même qui n'y connaît rien, de lancer des attaques. Donc, un, il faut que le patch ait été installé partout. Et deux, en plus de ça, le plus terrible, c'est qu'il existe aussi des vieilles versions de PHP en dessous de 8.2 qui, elles, ne sont plus mises à jour depuis des années et qui donc sont, par définition, encore plus vulnérables. [7:02] Cette affaire est donc exceptionnelle. Elle ne met pas en cause des hackers pour l'instant. Elle montre en fait ce qui peut faire toute la vulnérabilité d'un système à la source quand on s'aperçoit que c'est un boulon qui manque quelque part et qui peut faire s'écrouler toute la machine. C'est l'illustration d'une vulnérabilité maximale lorsque un système dominant, en l'occurrence PHP, fait tourner tout un écosystème international. Et le plus insolide, c'est qu'on ne peut même pas blâmer un éditeur privé dans ce cas-là. On ne peut pas dire c'est Microsoft ou c'est Google ou c'est Intel. Non, parce que PHP est un logiciel libre. Il est ouvert, le code est accessible à tous. Il est chapeauté par la fondation PHP avec évidemment des informaticiens de très haut niveau. Mais ce n'est pas un code propriétaire et on ne peut pas contester la domination commerciale, par exemple, d'un acteur parmi d'autres. Voilà donc pour cette faille PHP qui est sans doute un épisode assez marquant de l'histoire d'Internet car PHP et Internet c'est presque synonyme aujourd'hui et on n'a sans doute pas fini d'en mesurer les conséquences.