Volkswacht Bodensee - Des failles de sécurité révélées par l'IA perturbent des sites web dans le monde entier

Qu'est-ce que PHP et comment est-il utilisé ?

Créé au début des années 1990, PHP est un langage de programmation informatique qui fait fonctionner environ 70 % des sites web dans le monde.

Contrairement à un site statique, qui envoie toujours la même page à tous les visiteurs, un site en PHP est dit "dynamique": il génère son contenu à la demande en consultant une base de données, en vérifiant si l'utilisateur est connecté, en affichant des informations personnalisées ou encore en mettant à jour le contenu en temps réel.

C'est "l'ossature du web", selon la société de cybersécurité Wiz Research, qui affirme avoir utilisé l'IA pour trouver des vulnérabilités cachées dans PHP depuis plus de dix ans.

PHP, à l'origine l'abréviation de "Personal Home Page" devenue ensuite "PHP Hypertext Preprocessor", est utilisé au cœur de plateformes populaires de création de sites internet, comme WordPress, Drupal ou PrestaShop.

Les failles découvertes pourraient permettre à des pirates de s'introduire dans un grand nombre de ces sites, des boutiques en ligne aux services publics. C'est la raison pour laquelle autant d'entre eux ont été préventivement mis hors-ligne, le temps que les développeurs s'efforcent de protéger le code contre les attaques.

Comment l'IA a-t-elle trouvé les failles ?

Des modèles d'IA de pointe, comme ceux des géants américains OpenAI et Google, ont été utilisés par Wiz et d'autres groupes pour mettre au jour les points faibles de PHP en août. Cette trouvaille a été gardée secrète le temps qu'un correctif soit élaboré.

OpenAI a qualifié ces failles de "l'une des vulnérabilités les plus marquantes de ces dernières années", ajoutant qu'elles "marquent une nouvelle phase, où l'IA peut trouver des bugs de sécurité avec un impact à l'échelle d'internet".

Indépendamment de Wiz, la société de cybersécurité Calif a découvert ces failles dans le cadre d'un audit du code PHP financé par OpenAI.

"Le problème avec des outils comme l'IA, c'est qu'au moment où toute l'information est rendue publique, les gens peuvent la transformer en arme extrêmement rapidement", déclare à l'AFP Steve Kerrison, maître de conférences en cybersécurité sur le campus de Singapour de l'Université James Cook.

"C'est pour ça que tout le monde agit avec une telle urgence pour s'attaquer au problème", ajoute-t-il.

Des sites ont-ils déjà été piratés ?

"Mettre des sites web hors-ligne ne signifie pas nécessairement qu'ils ont été piratés. Cela peut être une mesure responsable pour protéger les systèmes pendant l'application des mises à jour de sécurité", explique Dimitrios Salampasis, de la Swinburne University of Technology en Australie.

Selon l'Agence de sécurité nationale américaine, les failles découvertes "offrent souvent un accès direct au système de fichiers ou à la base de données du serveur", ce qui permet potentiellement à un pirate de prendre le contrôle de ces serveurs sans même avoir besoin d'entrer un mot de passe.

Jusqu'ici, cependant, "les chercheurs en sécurité constatent que personne ne menait activement des attaques en utilisant les techniques disponibles", précise M. Salampasis.

Les grandes institutions, des agences gouvernementales aux médias, devraient être en mesure de corriger leurs sites web relativement rapidement, mais d'autres pourraient demeurer vulnérables.

"Certains sites, systèmes et personnes n'auront absolument aucune idée de ce qui se passe et resteront dans l'ignorance pendant des jours, des semaines, voire des mois", met en garde M. Kerrison. Cela pourrait inclure des blogs ou autres sites gérés par des particuliers qui pourraient être utilisés pour propager des virus, du spam ou du contenu malveillant.

D'autres conséquences sont-elles possibles ?

La nature complexe et interconnectée des systèmes en ligne, qui utilisent souvent des interfaces tierces, fait que certaines vulnérabilités peuvent subsister même après la résolution du problème initial.

Si ces interfaces tierces utilisent PHP, "alors même si vous vous êtes corrigés … vous restez vulnérables", souligne Rahat Masood, maître de conférences en cybersécurité à l'Université de Nouvelle-Galles du Sud à Sydney.

PHP ne fait toutefois pas tout: des mesures de cybersécurité solides doivent comprendre plusieurs couches de défense, rappelle pour sa part M. Kerrison.

kaf/roc/vmt

T.Germann--VB