Résumé :
L'opération mondiale de réparation d'urgence des vulnérabilités PHP critiques est entrée dans sa deuxième journée et la situation reste tendue. Les chercheurs préviennent qu'avant et après la divulgation publique de la vulnérabilité, les tentatives d'attaques de pirates informatiques sont passées de milliers à des millions, et la possibilité que certains systèmes aient été compromis ne peut être exclue. Jeudi, le Royaume-Uni a confirmé que plus de 30 services gouvernementaux restaient hors ligne en attendant le déploiement de mises à jour de sécurité. L'opérateur télécom Orange a également annoncé jeudi qu'il suspendrait l'accès à certains sites Internet et applications.
La veille, des dizaines de pays et de régions, dont l'Autriche, les Pays-Bas, la Finlande et la France, ont successivement adopté des mesures similaires, et de nombreuses banques et compagnies aériennes japonaises ont également interrompu certains services en ligne.
Matthew Prince, PDG de la société de cybersécurité Cloudflare, a révélé que son système avait identifié des milliers de tentatives d'exploitation de la vulnérabilité 10 heures avant qu'elle ne soit rendue publique ; Dans les deux heures qui ont suivi l’annonce, le nombre d’attaques est passé à des centaines de milliers, puis à des millions. On ne sait pas exactement combien de tentatives d'intrusion ont abouti à des tentatives réussies de vol de données ou de compromission de systèmes.
Palo Alto Networks a déclaré avoir identifié plus de 22,6 millions d'« instances exposées » contenant la vulnérabilité, et l'échelle est « extrêmement grande ».
Jeudi, la plateforme de partage d'informations sur les menaces et les vulnérabilités en matière de cybersécurité du ministère de l'Industrie et des Technologies de l'information a publié un rappel d'urgence indiquant que PHP présente deux vulnérabilités d'exécution de code à distance extrêmement critiques. Les attaquants peuvent envahir directement le système cible sans aucune authentification. Il est recommandé aux unités et aux utilisateurs concernés d'enquêter immédiatement et de mettre à niveau vers la dernière version de sécurité.
La vulnérabilité a été ciblée avant d'être rendue publique
Selon les chercheurs d'Amazon, les pirates informatiques tentaient d'exploiter la vulnérabilité avant qu'elle ne soit rendue publique. Le service Threat Intelligence d'Amazon a déclaré dans son rapport publié mercredi qu'un « acteur menaçant » non identifié avait obtenu d'une manière ou d'une autre des informations sur la vulnérabilité avant que les détails ne soient rendus publics et avait lancé une attaque contre le réseau de capteurs d'Amazon utilisé pour suivre les activités cybercriminelles. L’entreprise a depuis détecté plusieurs autres tentatives d’exploitation.
Matt Hull, vice-président de la cyberintelligence et de la réponse chez NCC Group, a déclaré que la période de fenêtre entre la découverte de la vulnérabilité et le déploiement du correctif est critique, ce qui oblige les organisations concernées à agir rapidement. "Il existe une possibilité réelle qu'un système vulnérable ait été compromis, y compris une porte dérobée", a-t-il déclaré. "L'impact potentiel ne peut être sous-estimé."
Actuellement, le Bureau du directeur national de la cybersécurité des États-Unis coordonne le FBI, la Cybersecurity and Infrastructure Security Agency, la National Security Agency et d'autres agences pour répondre conjointement à cet incident.
Le champ d'influence couvre 70 % de l'Internet mondial
PHP est l'une des technologies les plus largement déployées sur Internet, prenant en charge le fonctionnement de millions de sites Web et exploitant jusqu'à 70 % de l'infrastructure Internet mondiale.
Les systèmes de gestion de contenu grand public tels que WordPress, Drupal, Joomla et Magento utilisent tous PHP comme support sous-jacent. La société de sécurité réseau Huntress a souligné que PHP est également largement « caché » dans divers logiciels, même si le logiciel concerné ne déclare pas l'utilisation de PHP.
Une fois qu'une telle vulnérabilité fondamentale est exploitée, elle peut avoir un effet en chaîne dans la chaîne d'approvisionnement des logiciels Internet, exposant les services en ligne à des risques tels que le vol de données, l'implantation de logiciels malveillants et la fuite du système.
La mise hors ligne temporaire d'un site Web est une méthode défensive courante pour empêcher les attaquants d'exploiter les vulnérabilités lors du déploiement de correctifs. L'équipe de développement PHP a publié mercredi la mise à jour du logiciel et a exhorté les utilisateurs à l'adopter immédiatement.
Les outils d'IA facilitent la découverte et la réparation des vulnérabilités
La vulnérabilité a été découverte par Wiz, une société de cybersécurité appartenant à Alphabet, à l'aide de plusieurs outils d'intelligence artificielle.
Wiz a déclaré dans le rapport avoir collaboré avec OpenAI et la société de cybersécurité Calif pour terminer les travaux de recherche, et a estimé que la vulnérabilité existait inaperçue depuis plus de dix ans.
"Avec des modèles d'IA de pointe et les bons outils, un chercheur peut accomplir en une semaine ce qui prenait auparavant des mois à une équipe de classe mondiale", écrit Wiz dans le rapport.
La société a déclaré que les outils d'IA ont non seulement permis d'identifier rapidement les vulnérabilités, mais ont également accéléré l'élaboration de plans de réparation, jouant ainsi un rôle clé dans cette réponse d'urgence.
Commentaires