Plusieurs organismes publics écossais, dont des councils et des NHS boards, ont temporairement mis leurs sites web hors ligne après la découverte de vulnérabilités dans PHP, le langage qui sous-tend une grande partie d’Internet.
Vulnérabilités dans PHP et découverte
Les failles ont été identifiées par des chercheurs en cybersécurité des sociétés Calif et Wiz, dans le cadre d’une initiative lancée par OpenAI appelée Patch the Planet, à laquelle participait également la PHP Foundation. Les chercheurs ont déclaré qu’une analyse assistée par des outils d’intelligence artificielle avait permis d’identifier ces vulnérabilités, qui étaient passées inaperçues pendant plus d’une décennie et ont été découvertes en août, après quelques semaines d’utilisation de ces outils avancés.
OpenAI a décrit la découverte comme « l’une des failles de sécurité les plus marquantes de mémoire récente ». Un chercheur interne d’OpenAI aurait aussi découvert le problème à la même période que les autres équipes.
Sites affectés et mesures prises
La vulnérabilité a touché des organismes publics et des entreprises dans le monde, y compris le gouvernement finlandais et des entités telles que la Care Inspectorate. À un moment donné mercredi soir, au moins sept des 32 councils écossais et six des 14 health boards avaient temporairement coupé l’accès à leurs sites par précaution. Dans certains cas, les perturbations ont été brèves et les services en ligne ont été rétablis plus tard dans la soirée.
Sanne Dijkstra-Downie, conseillère d’Édimbourg et députée régionale (MSP) pour Edinburgh Northern, a souligné que la perte d’accès aux services en ligne serait frustrante pour les résidents et a demandé une communication claire sur la durée prévue des interruptions : « Technical and security issues can require urgent action, but the council will need to communicate clearly with residents about how long it expects services to be offline. It must also ensure that people who need urgent help can still access support while online services are unavailable. »
Mises à jour et recommandations
Des correctifs de sécurité ont été publiés mercredi, et les gouvernements et organismes de cybersécurité ont appelé les opérateurs de sites à appliquer ces mises à jour. La PHP Foundation prévoyait d’annoncer la vulnérabilité plus tard dans le mois accompagnée d’un patch, mais une fuite sur les réseaux sociaux mardi a conduit la fondation à divulguer la faille et à publier une correction plus tôt que prévu.
Le National Cyber Security Centre (NCSC) du Royaume-Uni, ainsi que ses homologues dans l’UE et en Australie, ont recommandé d’appliquer les correctifs. Le NCSC a précisé : « Lorsque la correction immédiate n’est pas possible, les organisations devraient envisager de mettre le système hors ligne jusqu’à ce qu’il soit totalement atténué. »
Wiz a estimé qu’« environ 70 % » des sites web seraient concernés par la vulnérabilité, estimation que les équipes d’enquête tentent de confirmer.
