Dès la divulgation, le 21 octobre, de deux vulnérabilités majeures affectant PHP, les tentatives d’exploitation se sont multipliées. Ce langage de programmation est utilisé par de nombreux sites internet, exposant potentiellement un grand nombre de serveurs. Les administrateurs ont dû déployer rapidement des mises à jour de sécurité pour empêcher l’exploitation de ces failles.
Cloudflare, dont les systèmes protègent de nombreux sites internet, a observé l’explosion du nombre de tentatives. Son directeur général, Matthew Prince, a raconté sur X, le 21 octobre, la vitesse à laquelle les attaques avaient progressé.
« Dans les dix heures précédant l’annonce publique, nous avons observé sur l’ensemble de notre réseau des milliers de tentatives d’exploitation. Ce chiffre est passé à des dizaines de milliers dans les 45 minutes suivant l’annonce, à des centaines de milliers en deux heures et se compte désormais en millions. »
Ces vulnérabilités existaient depuis plusieurs années dans PHP. Elles ont été repérées avec l'aide de l'intelligence artificielle et permettent, lorsqu'elles sont exploitées, d'accéder à certaines données ou d'exécuter du code sur un serveur. Les versions corrigées ont été publiées le 21 octobre.
Des services bancaires, administratifs et de transport suspendus
Au Japon, Mitsubishi UFJ, la compagnie aérienne ANA et East Japan Railway ont suspendu une partie de leurs services en ligne. Même précaution dans plusieurs administrations. Pour les utilisateurs, les interruptions ont été immédiates, alors que les équipes techniques s’efforçaient de mettre les systèmes à jour.
Le groupe français Orange a suspendu l’accès à certains sites et applications utilisant PHP dans plusieurs de ses filiales, sans préciser tous les services concernés. À Paris, la mairie a également placé plusieurs sites municipaux en maintenance pour installer les correctifs. En Finlande, des services publics ont commencé à rouvrir après leur mise à jour. La Chine a demandé aux organisations de vérifier leurs installations et la Corée du Sud a relevé son niveau d’alerte pour le secteur privé.
Les millions de tentatives signalées par Cloudflare ne représentent pas autant de piratages réussis. Mais les correctifs ne suffisent pas toujours à rouvrir un service immédiatement. Certains systèmes doivent encore être testés et les plus anciens nécessitent des modifications plus importantes. En Finlande, l’opérateur public Valtori prévient que le retour à la normale peut prendre plusieurs jours, voire plusieurs semaines.