Une alerte de sécurité mondiale concernant PHP, le langage utilisé par de nombreux sites et services dont WordPress, incite les entreprises de Fishers à vérifier leurs systèmes en ligne et rappelle aux résidents de rester vigilants face aux escroqueries financières.
Le 21 oct., PHP a publié des correctifs d’urgence pour combler deux vulnérabilités critiques — surnommées collectivement « PHP2Shell » — qui, selon la National Security Agency, pouvaient permettre à des attaquants de prendre le contrôle de serveurs web affectés sans mot de passe, exposant des informations sensibles ou perturbant des services. La NSA a recommandé un déploiement immédiat des correctifs et, si les mises à jour ne pouvaient pas être appliquées rapidement, de mettre les systèmes affectés hors ligne. En Suisse, l’ETH Zurich a temporairement mis hors ligne certains services basés sur PHP par précaution.
Pour les entreprises locales, la démarche pratique est de contacter leur développeur de site ou leur hébergeur pour confirmer que les mises à jour et les contrôles de sécurité ont bien été effectués. PHP a publié le 23 oct. un avis complémentaire traitant d’un risque additionnel dans une combinaison de paramètres inhabituelle; les fournisseurs doivent consulter cette dernière guidance.
Impact pour les sites PHP et recommandations
Selon la NSA, les failles pouvaient permettre une prise de contrôle sans mot de passe, avec les risques associés d’exposition de données et d’interruption de service. Les acteurs concernés sont donc invités à appliquer les correctifs d’urgence ou, à défaut, à déconnecter temporairement les services vulnérables jusqu’à leur mise à jour.
Le National Cyber Security Centre de Nouvelle-Zélande précise par ailleurs que le simple fait de visiter un site utilisant PHP n’implique pas nécessairement que l’ordinateur ou le téléphone d’un internaute soit compromis ou doive être réparé.
Risque d’escroqueries et conseils pratiques
Ces vulnérabilités de sites sont distinctes des risques de fraude à la consommation soulignés par Kyle Pierce, vice-président de la sécurité de l’information chez Everwise Credit Union, qui compte deux agences à Fishers. Dans un commentaire fourni pour le Cybersecurity Awareness Month, Pierce avertit que l’intelligence artificielle rend moins fiables les indices habituels d’une arnaque : les criminels peuvent produire des messages soignés, usurper des organisations et imiter des voix.
“A phone call that appears to come from your financial institution or a desperate plea from a family member might not be what it seems,” écrit-il. Il souligne qu’un signal d’alerte particulièrement utile reste la pression à agir immédiatement.
Pierce recommande de mettre fin aux conversations inattendues demandant de l’argent ou des informations personnelles, puis de contacter l’organisation via un numéro ou un site de confiance plutôt que d’utiliser les coordonnées fournies dans le message suspect. Il incite aussi les consommateurs à revoir régulièrement l’activité de leurs comptes et à signaler rapidement toute transaction inconnue.
Enfin, toute personne qui pense avoir partagé des informations sensibles ou envoyé de l’argent à un escroc doit contacter immédiatement sa banque ou l’émetteur de sa carte; la gêne ne doit pas retarder cette démarche. Son conseil central : pausez suffisamment longtemps pour interroger la demande avant d’agir.
