Faille de sécurité dans PHP
Plusieurs sites internet, dont ceux officiels flamands et fédéraux, ont été mis hors ligne par précaution mercredi après l’annonce de la découverte d’une faille de sécurité majeure dans le langage de programmation PHP. Le Centre pour la cybersécurité (CCB) recommande aux entreprises qui ne peuvent pas installer immédiatement le correctif de sécurité de mettre leur site web hors ligne.
M.CZ, SW
Le langage PHP, utilisé dans près de 70% des sites internet, fait l’objet de deux vulnérabilités dont a fait état mardi PHP Group, l’organisation derrière l’architecture technique du projet. Un correctif a été publié à 16h00 à l’échelle mondiale.
Les sites internet de plusieurs services publics fédéraux ont été temporairement mis hors ligne. Cela concerne notamment les plateformes des Affaires étrangères, du SPF Finances (mais MyMinfin reste disponible) ainsi que du SPF Emploi. On ne sait pas encore combien de temps les sites resteront inaccessibles.
Le ministre-président flamand Matthias Diependaele a notamment annoncé la mise hors ligne temporaire des sites web officiels de la Région fonctionnant sous PHP, dans un message diffusé sur le réseau X. La liste précise des sites et services concernés sera communiquée dès que possible.
“La continuité et la sécurité des services numériques pour nos citoyens sont notre priorité absolue”, a-t-il déclaré. “C’est pourquoi j’ai donné instruction de mettre hors ligne temporairement, par mesure de précaution, tous les sites web du gouvernement flamand fonctionnant sous PHP. Ainsi, nous limitons les risques et protégeons notre infrastructure numérique.”
L’AZ Monica et l’hôpital universitaire d’Anvers (UZA) ont égalment temporairement mis leurs sites internet hors ligne par mesure de précaution, a confirmé mercredi un porte-parole de l’AZ Monica. Les sites des hôpitaux wallons et bruxellois sont eux toujours accessibles.
Alerte aux États-Unis
L’agence américaine de renseignement NSA a recommandé mercredi à tous les sites utilisant le protocole de programmation PHP, très utilisé sur internet, d’effectuer une mise à jour du logiciel pour combler des vulnérabilités critiques.
La NSA suggère de mettre hors ligne tout site sous PHP qui n’aurait pas encore bénéficié de l’actualisation du logiciel, les failles permettant l’accès aux serveurs et aux données de l’organisation, selon un message publié sur X.
Plusieurs médias dans une position vulnérable
En attendant, le groupe belge DPG Media, a annoncé avoir temporairement mis hors ligne plusieurs de ses sites internet par précaution. DPG Media, maison-mère de 7sur7 et HLN, entre autres, a confirmé que tant des sites internet belges que néerlandais sont concernés, sans préciser lesquels. Belga a pu constater que le site de Tweakers est bel et bien hors ligne.
La plateforme pédagogique Smartschool, largement répandue en Flandre, a également été un temps inaccessible. Il s’agissait d’une mesure de précaution, précisent les responsables de la plateforme. Smartschool est utilisé par les écoles pour la communication entre les enseignants, les parents et les élèves.
Le site de Vdk Banque hors ligne
Vdk banque a temporairement mis hors ligne son site internet vdk.be par mesure de précaution, a indiqué mercredi la banque. Cette décision n’a toutefois aucun impact sur les services bancaires en ligne, qui restent accessibles aux particuliers comme aux professionnels.
Les clients particuliers peuvent continuer à effectuer leurs opérations via Online@vdk à l’adresse https://online.vdk.be. Les clients professionnels peuvent utiliser Online@vdk for professionals via https://online.vdk.be/ofp.
Pour des raisons de sécurité, la banque demande à ses clients de ne pas rechercher ces services via Google ou d’autres moteurs de recherche, mais d’utiliser directement les liens communiqués par vdk bank. La banque indique également tenir ses clients informés de l’évolution de la situation via sa page de statut.
Correctif de sécurité
Le Centre pour la Cybersécurité Belgique (CCB) a informé les victimes et parties concernées potentielles des vulnérabilités constatées dans le langage de programmation PHP. Il recommande également aux entreprises et organisations concernées d’installer le plus rapidement possible le correctif de sécurité, qui sera publié à 16h00, a indiqué la porte-parole Katrien Eggers.
Le Centre n’enjoint donc pas de manière proactive les sites web à se mettre temporairement hors ligne. “Il s’agit d’une décision qui appartient à chaque entreprise ou organisation elle-même”, précise-t-il.
Pour l’heure, le Centre n’a pas connaissance d’incidents effectifs.
Un acteur belge de la sécurité appelle les entreprises à un changement de mentalité
Le spécialiste belge de la sécurité NVISO s’appuie sur les vulnérabilités du langage de programmation PHP pour plaider en faveur d’un changement de mentalité urgent au sein des entreprises. De nombreuses sociétés n’ont en effet toujours pas une bonne vision des logiciels qu’elles utilisent.
NVISO, qui compte notamment l’Agence spatiale européenne (ESA) et l’Otan parmi ses clients, affirme que les entreprises doivent s’atteler à trois éléments: un programme de gestion des vulnérabilités pour savoir quels logiciels sont exécutés et sous quelle version, un outil de gestion pour identifier les systèmes obsolètes, et un inventaire de tous les logiciels ainsi que de leurs composants internes.
“On ne peut pas se permettre actuellement de ne pas savoir tout ce qui se passe autour de soi et où se situent ses plus grandes dépendances sur le plan technologique”, a conclu Maxime Thiebaut, expert en criminalistique numérique chez NVISO.
