Pokémon Home, Pokémon Champions et Pokémon Sleep hors ligne : une faille critique dans PHP touche une grande partie du web

Plusieurs applications Pokémon sont actuellement inaccessibles à la suite d’une alerte de cybersécurité mondiale. Pokémon Home, Pokémon Champions et Pokémon Sleep sont tous les trois hors service, ce qui laisse penser que The Pokémon Company les a volontairement coupés pour se protéger. En cause, deux failles extrêmement graves découvertes dans PHP, un langage de programmation utilisé par de très nombreux sites et applications. Ces trois services Pokémon en font partie.

Sur le terrain, l’état des applications est assez clair. D’après Kotaku, qui a rapporté l’information, Pokémon Home affiche un message d’erreur en japonais qui ne disparaît pas. Il signifie : « Nous sommes actuellement en maintenance. Veuillez patienter jusqu’à la fin de la maintenance. » Pokémon Champions semble se lancer normalement, puis affiche rapidement un avertissement indiquant qu’une maintenance d’urgence est en cours. Aucune des deux applications ne donne d’estimation sur la date de retour du service.

PHP a été conçu pour le développement web. Il fonctionne sur les serveurs et produit ce que l’on voit en visitant un site. Tous les sites ne l’utilisent pas, mais il fait tourner une grande partie d’Internet. L’entreprise de cybersécurité Wiz estime qu’environ 70 % du web est concerné, un chiffre que la BBC n’a pas pu vérifier. Huntress rappelle que PHP fait tourner en silence WordPress, Drupal, Joomla et Magento, des plateformes d’hébergement mutualisé, des panneaux de contrôle et de nombreux logiciels qui ne mentionnent même pas qu’ils reposent sur ce langage.

Les failles ont été trouvées par des chercheurs des sociétés Calif et Wiz, à l’aide d’une intelligence artificielle de pointe développée par OpenAI. Selon ces entreprises, elles étaient passées inaperçues pendant plus de dix ans. Wiz affirme que ce sont les vulnérabilités les plus graves jamais découvertes par ce type d’outil, et précise que les modèles de pointe ont permis de développer et d’adapter des exploits fonctionnels sur plusieurs applications en quelques heures. OpenAI parle de l’un des problèmes de sécurité les plus lourds de conséquences de ces dernières années.

Concrètement, ces failles permettraient à des personnes malveillantes d’exécuter des commandes sur les serveurs web qui font tourner PHP, puis de leur faire accomplir à peu près n’importe quelle tâche. Il s’agit d’une exécution de code à distance, qui pourrait servir à installer des logiciels malveillants ou à mettre des sites hors service. L’équipe de réponse aux urgences informatiques de l’Union européenne, CERT-EU, indique que les scores de risque attribués aux failles traduisent un potentiel d’exécution de code à distance sans authentification. La NSA américaine souligne que ces vulnérabilités offrent souvent un accès direct au système de fichiers ou à la base de données du serveur. Dane Knecht, directeur technique de Cloudflare, dit déjà observer des attaques naissantes et adapter les protections au fur et à mesure que de nouvelles méthodes apparaissent.

Les failles toucheraient des versions de PHP remontant jusqu’à PHP 5, sorti en 2004, même si les versions précisément concernées ne sont pas encore clairement établies. Un correctif a été publié mercredi après-midi. La PHP Foundation ne l’a toutefois diffusé que pour les versions les plus récentes : les utilisateurs de PHP 8.1 ou d’une version plus ancienne sont invités à passer à une version supérieure.

Le vrai défi n’est pas seulement d’installer le correctif. Don Smith, de l’unité Counter Threat Unit de Sophos, explique qu’il faut surtout repérer et gérer chaque endroit où PHP est utilisé. Le langage peut se trouver sous des sites publics, des systèmes de gestion de contenu, des plateformes d’hébergement ou des produits tiers, parfois sans que l’organisation concernée s’en rende compte. Les éditeurs de logiciels tiers doivent en outre mettre à jour leurs propres produits qui reposent sur PHP. Il recommande aussi de chercher des signes indiquant qu’un attaquant a déjà pris pied dans un système, et considère que ces failles seront sans doute une cible prioritaire pour les pirates. Après l’installation du correctif, le Centre national de cybersécurité britannique (NCSC) conseille de surveiller en continu les mises à jour des éditeurs tiers, y compris pour les équipements et services qui intègrent PHP.

Face à ce risque, plusieurs agences de cybersécurité ont demandé aux organisations incapables d’appliquer les correctifs à temps d’envisager de mettre leurs sites hors ligne. Le NCSC précise que, si les mesures d’atténuation temporaires ne peuvent pas être appliquées ou prendraient trop de temps, il faut envisager de couper le système jusqu’à ce qu’il soit entièrement protégé. Ses homologues de l’Union européenne et d’Australie, l’office national japonais de cybersécurité et la NSA ont donné des conseils similaires. La Maison-Blanche indique que les agences fédérales travaillent avec de grands laboratoires d’IA pour accélérer la résolution du problème, et la Première ministre japonaise Sanae Takaichi a demandé à la population de vérifier si les sites publics fonctionnaient avec PHP.

Plusieurs organisations ont suivi ces recommandations. La Finlande a temporairement fermé les services web publics de son gouvernement, et l’agence néerlandaise de cybersécurité a retiré son propre site. Le site de l’Institut national néerlandais de santé publique et de l’environnement est hors ligne, tout comme celui de la Tweede Kamer, la chambre basse du parlement néerlandais. La Wikimedia Foundation, qui gère Wikipédia, affirme corriger les failles et avoir mis hors service plusieurs autres systèmes par précaution, ce qui a empêché certains internautes d’accéder à une partie de Wikipédia mercredi. Le site du conseil municipal d’Édimbourg est également inaccessible, de même que ceux de plusieurs émissions de la BBC, dont Doctor Who et The Traitors, sans que le lien avec PHP soit confirmé. DeviantArt indique être temporairement en maintenance sans en préciser la raison, et Ars Technica est aussi devenu inaccessible, d’après les informations disponibles.