Des milliers de sites mis hors ligne, dont ceux de la police belge : ce qui se cache derrière cette faille informatique mondiale

PHP, pour « Hypertext Preprocessor », est un langage de programmation créé au début des années 1990 par le programmeur canado-danois Rasmus Lerdorf. Il permet notamment de faire fonctionner certaines parties des sites Internet, de traiter les demandes des internautes et de communiquer avec les bases de données.

Pour comprendre son rôle, imaginez des millions de voitures différentes. Elles ont chacune leur propriétaire, leur carrosserie et leur propre fonctionnement. Mais certaines utilisent une technologie de moteur commune. PHP, c’est un peu l’équivalent du moteur dans le monde d’Internet. Les sites ont leur propre identité et leur propre infrastructure, mais beaucoup s’appuient sur ce même langage pour fonctionner. Lorsqu’un internaute consulte une page ou demande une information, PHP peut contribuer à traiter sa demande et à récupérer les données nécessaires.

Le problème ? Si une faille est découverte dans cette technologie commune, de nombreux sites peuvent être concernés. Cela ne signifie pas qu’ils sont tous attaqués ou piratés, mais que leur socle est vulnérable et qu’ils doivent donc rapidement corriger le problème.

2. Est-ce que tous les sites Internet fonctionnent avec PHP ?

Non, mais une très grande partie d’entre eux. On chiffre à environ 70 % du Web mondial qui fonctionne avec PHP. Pour le spécialiste Palo Alto Networks, on dénombrerait 22 millions de plateformes exposées aux vulnérabilités découvertes cette semaine.

de videos

Précision importante, on parle bien de victimes potentielles et non de victimes avérées. Etre exposé à une menace ne signifie pas automatiquement l’avoir subie.

3. Quel est le problème mis en lumière mercredi ?

La fondation PHP, qui coordonne le développement et les évolutions du langage, a signalé deux vulnérabilités critiques. En clair, il s’agit de faiblesses dans le logiciel qui peuvent être exploitées par des personnes malveillantes. Selon la NSA américaine, elles peuvent permettre d’accéder aux serveurs et aux données des organisations concernées.

Pour mieux comprendre, imaginez un bâtiment dans lequel sont conservés des documents confidentiels. Pour y accéder, il faut normalement passer par une porte sécurisée. Mais si la serrure présente un défaut, une personne malveillante peut trouver un moyen de contourner la protection et entrer sans y être autorisée.

C’est, en simplifiant, le problème posé par une faille informatique. Un logiciel est censé fonctionner selon des règles précises. Mais une erreur dans sa conception ou son fonctionnement peut permettre à quelqu’un de lui faire exécuter des opérations qui n’auraient jamais dû être possibles. Selon les alertes publiées, les failles dans le langage PHP peuvent permettre à des attaquants d’exécuter du code à distance sur un serveur, sans devoir s’identifier au préalable.

4. Depuis quand ces failles existaient-elles ?

Les failles ont été rendues publiques ce mercredi 21 octobre, mais elles ne sont pas nécessairement apparues ce jour-là. Dans le monde informatique, une vulnérabilité peut exister pendant des mois, voire davantage, avant d’être identifiée. Dans le cas de PHP, la fondation qui coordonne le développement du langage indique que des chercheurs ont signalé des problèmes dès le mois d’août. Plusieurs équipes ont ensuite travaillé à comprendre leur portée et à préparer des correctifs. Des correctifs qui ont dû être réalisés dans l’urgence (et avancés à ce 21 octobre) suite à des fuites sur le web et la médiatisation de ces failles.

5. Pourquoi des sites ont-ils été mis hors ligne ?

Parce que le risque était jugé suffisamment sérieux pour justifier des mesures immédiates. La NSA américaine et le Centre national britannique de cybersécurité ont recommandé aux sites concernés de mettre à jour PHP et de couper temporairement l’accès aux installations qui n’étaient pas encore sécurisées. L’objectif était de limiter les possibilités d’exploitation des failles pendant que les organisations procédaient aux vérifications et aux mises à jour nécessaires.

En Belgique, la police fédérale a annoncé mercredi sur X avoir temporairement mis ses sites hors ligne par mesure de précaution. Elle a précisé que le numéro 101 restait accessible pour toute intervention policière urgente. Plusieurs sites de l’administration fédérale ont également été suspendus, tout comme la banque VDK, les sites de DPG Media ou encore Smartschool (une application largement utilisée par les écoles flamandes). La même prudence a été appliquée ailleurs en Europe, comme par exemple en France, où les sites des préfectures ont été mis hors ligne à la demande de l’Anssi, l’agence chargée de la sécurité des systèmes d’information.

Encore une fois, ces interruptions ne signifient pas que les sites concernés ont été piratés. Il s’agit plutôt d’une mesure préventive pour éviter un risque potentiel. Autrement dit, couper temporairement pour protéger leurs systèmes.

6. Comment se protéger failles ?

La priorité est d’installer les mises à jour qui corrigent les vulnérabilités. Encore faut-il savoir où se trouvent les logiciels concernés. C’est précisément l’un des problèmes soulevés par Maxime Thiebaut, expert en investigation numérique et réponse aux incidents chez NVISO, un acteur belge de la cybersécurité. « Aujourd’hui encore, il apparaît une nouvelle fois que de nombreuses entreprises n’ont toujours pas une bonne visibilité sur ce qui se passe dans leur environnement », explique-t-il.

Selon lui, les organisations doivent connaître les logiciels utilisés, les versions installées et les composants présents dans leurs systèmes. Certaines applications peuvent en effet dépendre de logiciels ou de composants que les entreprises ne soupçonnent pas forcément. « On ne peut plus se permettre aujourd’hui de ne pas savoir ce qui s’exécute dans son environnement ni où se situent ses principales dépendances sur le plan technologique », avertit l’expert.

7. Quel rôle l’intelligence artificielle a-t-elle joué ?

C’est l’autre dimension majeure de cette affaire. OpenAI a expliqué que les failles avaient été découvertes par l’entreprise de sécurité informatique Calif à l’aide de l’un de ses modèles récents, GPT-5.6 Sol. La société de cybersécurité Wiz a également identifié ces vulnérabilités, sans préciser les modèles utilisés.

L’intelligence artificielle peut aider les spécialistes à repérer des faiblesses dans des logiciels complexes. Mais cette capacité présente aussi un revers : les mêmes outils peuvent permettre à des pirates de rechercher des vulnérabilités et de préparer des attaques plus rapidement. Pour Maxime Thiebaut, le délai entre l’identification d’une faille et son exploitation par des attaquants ne cesse de se raccourcir.

de videos

La découverte de mercredi illustre donc un double enjeu. L’IA peut renforcer la sécurité informatique en aidant à détecter les problèmes, mais elle impose aussi aux organisations de réagir plus rapidement. Car derrière, l’IA peut aussi servir aux personnes malveillantes pour profiter plus rapidement de la moindre faille disponible.

8. Le problème est-il désormais réglé ?

Les développeurs de PHP ont publié les correctifs dès mercredi. Mais le danger ne disparaît pas automatiquement avec leur publication : chaque organisation doit encore vérifier ses installations et effectuer les mises à jour nécessaires. Tant que certains serveurs restent vulnérables, ils peuvent encore être exposés à une tentative d’exploitation.

Le Centre pour la Cybersécurité Belgique (CCB) recommande d’ailleurs aux entreprises et organisations qui n’ont pas pu installer directement le correctif de mettre leur site hors ligne.