Alors pourquoi tout couper ?

Transcription

1. Mercredi, le gouvernement néerlandais a coupé des sites, dont celui de DigiD.
2. La connexion, elle, fonctionnait.
3. Un correctif était prévu l’après-midi.
4. Jeudi au Japon, des banques avaient suspendu des services en ligne,
5. et le fisc a fermé la page d’accueil d’e-Tax.
6. La cause : 2 failles dans PHP, utilisé par des millions de sites.
7. En envoyant des requêtes, sans mot de passe,
8. un inconnu pouvait exécuter son propre code sur le serveur.
9. Alors pourquoi tout couper ?
10. Parce que le secret avait fuité, et même avec un correctif,
11. il fallait patcher et vérifier les serveurs.
12. En 2024, l’équipe de PHP a vu des signes du bug mémoire derrière une des failles.
13. Elle n’a pas su montrer d’intrusion, et le correctif a stagné des mois.
14. La fondation PHP qualifie ce retard d’échec de sa part.
15. En août, la société de sécurité Calif, avec l’IA,
16. a montré qu’elle pouvait prendre un site WordPress, et l’a signalé à PHP.
17. OpenAI l’a signalé le même jour.
18. Le correctif était fixé au 22 octobre.
19. D’ici là, seuls ceux qui le préparaient devaient être au courant.
20. La dernière semaine, le secret a craqué.
21. Le patron de la société Chainguard dit que le vendredi 16 octobre,
22. un des découvreurs lui a seulement dit que quelque chose arrivait,
23. et son équipe a trouvé la faille la nuit même, avec l’IA.
24. Le lendemain, Chainguard a rejoint le travail et,
25. comme d’autres distributeurs, a reçu le correctif.
26. Ce samedi-là, les leurres d’Amazon ont vu quelqu’un tenter l’attaque.
27. Comment il savait, dit Amazon, on l’ignore.
28. Mardi, les numéros de catalogue des failles sont apparus en ligne, sans détails.
29. PHP a avancé son correctif d’un jour.
30. Le soir, selon PHP, Calif a publié par erreur une vidéo de son attaque test.
31. Tôt mercredi, plus de 6 heures avant l’heure convenue,
32. Chainguard a publié ses versions corrigées.
33. Elle dit que les attaques avaient commencé, et que les leurres d’Amazon en voyaient.
34. Selon PHP, ces versions ont permis d’étudier le correctif quand d’autres attendaient.
35. L’après-midi, PHP a publié le correctif,
36. prêt seulement pour ses 4 versions maintenues.
37. Selon W3Techs, environ la moitié des sites PHP tournent en 8.1 ou plus ancien.
38. Pour eux, PHP n’a pas de mise à jour prête.
39. Les agences au Royaume-Uni, dans l’UE et aux États-Unis ont conseillé :
40. si vous ne pouvez ni mettre à jour ni protéger, envisagez de couper.
41. Le site de DigiD est revenu le lendemain, une fois patché et testé.
42. Selon Amazon, les tentatives sont répandues.
43. La fondation PHP ne connaît aucune exécution de code réussie via ces failles.
44. Si quelqu’un a piraté un serveur avant le patch, on l’ignore encore.
45. Soutenez-nous sur pollar.news/support ou dans notre app iOS et Android.