Alerte cybersécurité : des sites belges coupés préventivement à cause d’une faille critique, votre site WordPress est-il concerné ?

Imaginez : vous essayez de consulter un site d’information, de vous connecter à une plateforme scolaire ou de visiter votre boutique en ligne préférée. Et là, rien. Une page de maintenance, un message d’erreur ou un grand vide numérique. Non, Internet n’a pas décidé de prendre congé pour prolonger le week-end. Une faille de sécurité critique dans PHP pousse plusieurs organisations à couper temporairement certains sites web, y compris en Belgique.

Le problème est suffisamment sérieux pour que les autorités européennes recommandent aux organisations incapables de sécuriser rapidement leurs systèmes d’envisager leur mise hors ligne. Et comme PHP fait fonctionner une immense partie du Web, les conséquences pourraient dépasser largement quelques pages indisponibles.

PHP, ce petit moteur qui fait tourner une partie du Web

PHP est un langage de programmation utilisé pour construire et faire fonctionner des sites web. Vous n’en avez probablement jamais entendu parler, et c’est parfaitement normal : il travaille généralement dans les coulisses, comme le mécanicien qui entretient votre voiture sans vous demander de venir tenir la clé à molette.

Le problème, c’est que ce mécanicien est partout. PHP fait notamment fonctionner des sites créés avec WordPress, Drupal ou Joomla, ainsi que de nombreuses applications web et boutiques en ligne. Si vous consultez un blog, un site d’actualité ou une plateforme commerciale, il existe donc une possibilité que PHP travaille discrètement derrière l’écran.

Le 20 octobre, l’équipe de développement de PHP a annoncé la publication prochaine de correctifs pour deux vulnérabilités critiques. Leur gravité est évaluée à 9,2 sur 10 selon le système CVSS utilisé pour mesurer la sévérité des failles informatiques.

Le risque est particulièrement préoccupant : une exploitation pourrait permettre à un attaquant d’exécuter du code à distance sur un système vulnérable, sans nécessairement devoir s’authentifier au préalable. En clair, un pirate pourrait potentiellement prendre pied sur un serveur sans disposer des clés de la maison.

Les détails techniques et les versions précisément concernées doivent être confirmés avec la publication des correctifs. En attendant, les responsables informatiques sont invités à préparer les mises à jour sans attendre.

En Belgique, des sites sont déjà mis hors ligne

La Belgique n’attend pas de voir si le problème va gentiment disparaître de lui-même.

Selon les informations publiées ce 21 octobre par TechPulse, DPG Media et Smartschool ont temporairement mis certains sites hors ligne par précaution. Tweakers figure notamment parmi les sites concernés chez DPG Media.

Cette décision ne signifie pas nécessairement que ces plateformes ont été piratées. Il s’agit avant tout de réduire le risque pendant que les équipes techniques préparent la sécurisation de leurs systèmes.

Le Centre pour la cybersécurité Belgique (CCB) n’avait, selon ce même média, pas connaissance d’attaques visant des sites belges au moment de la publication de son article. Cela ne permet évidemment pas de garantir qu’aucune tentative n’a eu lieu, mais il est important de distinguer une mesure préventive d’un piratage confirmé.

D’autres pays prennent également la situation au sérieux. Aux Pays-Bas, des sites institutionnels et des services publics ont été rendus temporairement indisponibles. Plusieurs organisations préfèrent donc afficher une page de maintenance plutôt que de laisser une porte potentiellement ouverte aux cybercriminels.

C’est contrariant pour les visiteurs, mais cela vaut probablement mieux qu’un site qui fonctionne parfaitement pendant qu’un inconnu fouille discrètement dans ses données.

Votre site WordPress est-il concerné ?

C’est ici que les choses deviennent intéressantes pour les propriétaires de sites, les blogueurs et les petites entreprises.

Si votre site utilise WordPress, il utilise PHP côté serveur. Cela ne signifie pas automatiquement qu’il est vulnérable, mais il faut vérifier la version de PHP utilisée par votre hébergement et appliquer les correctifs adaptés dès leur disponibilité.

Et attention à un détail qui pourrait faire perdre du temps à certains : mettre WordPress à jour ne revient pas nécessairement à mettre PHP à jour.

WordPress est le logiciel qui permet de gérer votre site. PHP est un élément logiciel qui s’exécute généralement sur le serveur de votre hébergeur. Les deux sont liés, mais leur maintenance ne suit pas forcément le même circuit.

Vous pouvez donc disposer de la dernière version de WordPress, d’un thème flambant neuf et de plugins à jour, tout en dépendant d’une version de PHP qui nécessite encore une intervention.

Pour vérifier la situation, contactez votre hébergeur ou consultez les informations techniques disponibles dans votre espace d’administration. Si vous ne gérez pas vous-même la partie serveur, demandez explicitement si les correctifs PHP liés aux vulnérabilités annoncées le 20 octobre ont été appliqués.

Évitez toutefois de modifier manuellement la version de PHP sans vérifier la compatibilité de votre site : une mise à niveau mal préparée peut provoquer des erreurs ou rendre certaines extensions inutilisables.

Pourquoi ne pas simplement attendre que tout se règle ?

Parce qu’une faille critique peut rapidement devenir un terrain de jeu pour les cybercriminels. Les chercheurs et les équipes de sécurité surveillent déjà la situation. Cloudflare, qui protège de nombreux sites contre le trafic malveillant, a signalé des tentatives d’exploitation et travaille à renforcer ses protections.

Une mise à jour de sécurité est donc essentielle, mais elle ne garantit pas à elle seule qu’un système déjà compromis est redevenu sain. Si une attaque a eu lieu avant l’installation du correctif, des vérifications supplémentaires peuvent être nécessaires.

Pour les organisations qui ne peuvent pas sécuriser immédiatement leurs systèmes exposés à Internet, le CERT-EU, l’équipe de réponse aux incidents informatiques des institutions européennes, recommande d’envisager leur isolement temporaire du réseau public.

C’est une mesure radicale, certes. Mais entre un site momentanément inaccessible et un serveur dont un pirate pourrait prendre le contrôle, le choix est assez vite fait.

Que doivent faire les propriétaires de sites ?

La priorité est de savoir si votre hébergement est concerné, puis d’appliquer les correctifs appropriés dès qu’ils sont disponibles. Les entreprises et les administrateurs doivent identifier les applications utilisant PHP, vérifier leurs versions, préparer les mises à jour et surveiller les éventuels signes d’activité suspecte. Si une mise à jour immédiate est impossible, il faut discuter avec l’hébergeur des mesures temporaires permettant de limiter l’exposition.

Pour les utilisateurs ordinaires, il n’est pas nécessaire de paniquer ni de modifier tous les mots de passe simplement parce que cette alerte existe. Une vulnérabilité sur un serveur ne signifie pas automatiquement que les comptes de tous les visiteurs sont compromis.

En revanche, si un service que vous utilisez annonce un incident de sécurité, suivez ses recommandations et méfiez-vous des faux messages qui pourraient profiter de la situation pour vous pousser à cliquer sur un lien douteux.

Un Internet plus fragile qu’il n’en a l’air

Cette affaire rappelle une réalité peu spectaculaire, mais essentielle : derrière les sites que nous consultons chaque jour se cachent des couches de logiciels, de serveurs et de composants dont dépend le bon fonctionnement de tout l’édifice.

Une seule vulnérabilité dans une technologie largement utilisée peut donc mobiliser des équipes informatiques partout dans le monde. Et parfois, la meilleure manière de protéger un site consiste à accepter de le rendre inaccessible pendant quelques heures.

La bonne nouvelle, c’est que les correctifs sont préparés et que les organisations peuvent prendre des mesures pour limiter les risques. La mauvaise, c’est que la sécurité informatique reste une course permanente entre ceux qui corrigent les failles et ceux qui cherchent à les exploiter.

Si vous gérez un site WordPress, ne partez pas du principe que tout va bien simplement parce que votre page d’accueil s’affiche normalement. Demandez à votre hébergeur si votre version de PHP est concernée et si les correctifs ont été appliqués. Votre site peut être parfaitement présentable tout en ayant besoin d’une sérieuse révision sous le capot.

Et si vous tombez aujourd’hui sur une page de maintenance, inutile de secouer votre écran : dans certains cas, c’est justement le signe que quelqu’un prend la sécurité au sérieux.

Les bons plans du jour

Aucun bon plan disponible pour le moment.