Failles PHP : que faire pour préserver votre site ?

Secousses telluriques sur le web depuis ce mercredi 21 octobre dans l’après-midi : deux failles ont été repérées par une intelligence artificielle dans le langage PHP, soit le langage de programmation utilisé par plus de 70% des sites internet dans le monde.

Si vous avez vous-même un site web pour vos activités professionnelles ou commerciales, pas de panique. Il faut réagir bien entendu, mais les démarches essentielles sont accessibles.

Première question à se poser : dans quel langage est mon site web ?

Le PHP (ou "Personal Home Page", devenu ensuite "PHP Hypertext Preprocessor") est utilisé comme langage sur des plateformes populaires de création de sites internet comme WordPress, Drupal ou PrestaShop. Ces sites sont faciles et rapides à créer, proposent une gestion simple avec un résultat esthétique plutôt agréable. Soit exactement ce qu’un commerçant non-initié au web cherchera pour mettre son business en vitrine et proposer un e-shop.

Or, les failles découvertes pourraient permettre à des pirates de s’introduire dans un grand nombre de ces sites, des boutiques en ligne aux services publics (le site des Affaires étrangères a par exemple été mis hors ligne de manière préventive par exemple afin de permettre aux développeurs de protéger le code contre les attaques).

Contrairement à un site dit "statique" (qui envoie un contenu clé sur porte, toujours la même page à tous les visiteurs), un site en PHP est qualifié de "dynamique". C’est-à-dire qu’il génère donc un contenu à la demande en consultant une base de données, en vérifiant si l’utilisateur est connecté, en affichant des informations personnalisées ou encore en mettant à jour le contenu en temps réel.

Ai-je un hébergeur ?

Pour chaque indépendant ou commerçant, ce sera la principale question à se poser comme l’indique Nicolas Pourbaix, expert en cybersécurité dans la société E-net Business : "Il faut s’adresser à l’agence qui a créé son site web, à l’hébergeur qui s’occupe de son site web ou à un éditeur pour voir si les mesures ont été prises pour corriger ces deux failles de sécurité."

Pour les administrateurs de sites, la priorité est de vérifier les versions de PHP utilisées et d’installer les correctifs dès leur publication. Une simple mise à jour de WordPress ne suffira pas, puisque PHP doit être corrigé au niveau du serveur.

"Il faut immédiatement installer les updates, explique Miguel De Bruycker, directeur général du Centre pour la Cybersécurité Belgique (CCB), donc les mesures de protection qui sont prévues par le fournisseur".

Dès l’alerte donnée concernant ces deux failles PHP, le CCB a tenté d’identifier les propriétaires de sites concernés en Belgique, plus de 7000 serveurs ou sites ont été répertoriés. "Ce qui est inquiétant, c’est que seuls 10% ont installé une version sécurisée", précisait ce jeudi midi le directeur du CCB.

Les hébergeurs de site comme Combell (l’une des principales plateformes en Belgique), OVH (principale en France) ou Infomaniak (principale en Suisse) doivent donc se montrer réactifs et proposer un patch, un correctif qui résoudra les problèmes découverts cette semaine. Ces patchs ont été mis en ligne rapidement par PHP.

Faut-il mettre son site hors-ligne ?

En Belgique, plusieurs sociétés ou services publics ont décidé de mettre leur site off line pour éviter tout problème. Cette mesure de sécurité "n’est pas indispensable", précise Miguel de Bruycker, directeur général du CCB, mais si l’installation du correctif prend un certain temps alors "peut-être, il est mieux de débrancher le site quelques temps".

La réponse précise résidera partiellement dans l’ancienneté de votre site. Si celui-ci est en ligne depuis un moment sans avoir subi de mise à jour ou de suivi sur le plan des logiciels, alors il sera de facto plus exposé et son update prendra plus de temps. Plus de temps cet update prendra, plus vous serez exposé à d’éventuelles attaques ou détournements de votre boutique en ligne par exemple.

Et c’est là toute la réflexion à avoir : pouvez-vous, en tant qu’indépendant, vous permettre de maintenir votre boutique en ligne fermée plusieurs jours ?

Quelle version de PHP suis-je en train d’utiliser ?

Tous les sites web ne fonctionnent pas avec la dernière version de PHP. Certains utilisent encore des versions plus anciennes parce que certains plug-in ou applications sont incompatibles avec une version plus récente de PHP.

Le projet PHP prend actuellement officiellement en charge les versions 8.2 à 8.5. Les versions plus anciennes ne bénéficient plus de mises à jour de sécurité régulières. Que faire alors ?

Si vous n’êtes pas un expert, un petit coup de main sera sans doute nécessaire car il vous faudra mettre en œuvre, compiler et tester manuellement les modifications indispensables.

Il existe plus d’une dizaine de branches de versions de PHP (de PHP 5.4 à PHP 8.5, la plus récente). Pour les versions les plus anciennes, il faudra étudier la possibilité technique et la nécessité de déployer des correctifs supplémentaires.

Attention toutefois, un correctif de sécurité concernant un incident précis ne rend pas pour autant une version obsolète de PHP totalement sécurisée.

Si jamais vous étiez perdu dans les méandres du PHP, sachez que Safe on web a mis plusieurs recommandations en ligne avec un numéro à contacter en cas de besoin. 

Et en ultime recours, n'hésitez pas à vous tourner vers des sociétés d'hébergeurs ou des développeurs web qui pourront soit prendre le relais soit vous aiguiller.