Ce mercredi, les concepteurs de PHP ont publié en urgence des correctifs. PHP est la « langue » dans laquelle sont écrits de très nombreux sites et logiciels. Deux défauts graves pourraient permettre à des pirates de prendre le contrôle d’un site sans avoir besoin de s’identifier.
Voici ce qu’un dirigeant doit en retenir, sans jargon.
L’histoire en une image
Imaginez un immeuble dont la porte d’entrée présente un défaut de fabrication. Peu importe la qualité de la serrure de votre appartement : un inconnu peut entrer dans le hall.
Le problème ne vient donc ni de votre site ni de son contenu, mais de la fondation sur laquelle il repose. Les spécialistes ont noté chaque défaut 9,2 sur 10 et le CERT-EU demande d’installer les correctifs au plus vite. C’est la seule note de 9,2 dont personne ne se vante.
Quelles applications sont concernées ?
La réponse tient en une phrase : toute application qui tourne sur un serveur PHP non corrigé. L’avis officiel invite à mettre à jour toute installation qui sert des requêtes web, quelle que soit la méthode d’exécution utilisée. Le défaut se trouve dans le langage lui-même et non dans chaque logiciel. Chaque application construite dessus hérite donc du risque, tant que le serveur n’est pas à jour.
Voici les familles les plus répandues.
Les sites vitrines et les blogs
- WordPress, Joomla, Drupal, TYPO3
Les boutiques en ligne
- WooCommerce (l’extension de boutique de WordPress), PrestaShop, Magento, Shopware
Les logiciels de gestion d’entreprise
- Dolibarr, GLPI (parc informatique et assistance), SuiteCRM
Les outils collaboratifs et de formation
- Nextcloud, Moodle, MediaWiki, Matomo, phpMyAdmin
Les développements sur mesure
- Toute application écrite avec Laravel, Symfony ou directement en PHP, y compris les sites réalisés par un ancien prestataire
Cette liste est indicative et non exhaustive : PHP fait fonctionner une très grande partie du web. Un point demande de la prudence : certains logiciels embarquent leur propre version de PHP, notamment dans des conteneurs, sur des boîtiers de stockage ou dans des packs d’installation clés en main. Pour ceux-là, la mise à jour du serveur ne suffit pas toujours. Il faut aussi mettre à jour le logiciel lui-même.
Faut-il paniquer ?
Non, mais il ne faut pas attendre. Les correctifs existent déjà. De plus, aucune attaque réelle et fiable n’a été publiquement démontrée à ce jour. En revanche, l’information avait fuité avant la publication, avec une vidéo d’un outil censé prendre le contrôle de sites connus. La prudence reste donc de mise.
Le vrai problème : la mise à jour qui traîne
Réparer la porte est simple. Encore faut-il que quelqu’un le fasse. Chacun connaît le syndic qui promet de réparer l’ascenseur « très prochainement » depuis 2019.
Les chiffres le confirment. Selon une étude de Censys, plus de 70 % des sites WordPress analysés tournent sur des versions de PHP périmées. La raison est humaine : les mises à jour provoquent souvent des incompatibilités avec d’anciennes extensions, et beaucoup d’administrateurs les repoussent.
À cela s’ajoute un piège : certains hébergements affichent une version à jour alors que le serveur n’a pas bougé. C’est l’équivalent d’une porte blindée sur la brochure et d’un loquet sur place. x
Les quatre questions à poser à votre hébergeur dès aujourd’hui
- Mon site est-il concerné par ces deux défauts ?
- Le correctif a-t-il été installé sur mon serveur ?
- Qui l’installe lors de la prochaine alerte ?
- Mes extensions risquent-elles de poser problème après la mise à jour ?
Si la réponse tarde, c’est déjà une réponse.
Et chez ANOR ?
Les sites de nos clients sont propulsés par Odoo, qui est écrit dans une autre « langue », Python. Ils habitent donc un autre immeuble et ne sont pas concernés par ces deux défauts.
Nous ne prétendons pas pour autant que ce quartier soit à l’abri de tout, car aucun ne l’est. La différence tient à la façon dont on s’en occupe. Nous surveillons une seule porte d’entrée et non quarante petites portes oubliées dans une cave. Nos clients bénéficient d’une équipe qui connaît leur dossier et non d’un homme-orchestre. Les mises à jour sont posées sans que l’on nous les réclame.
Les clients qui conservent en parallèle un ancien site en PHP restent concernés tant que le correctif n’est pas installé. Qu’ils nous appellent.
En résumé
Un défaut se répare en une journée. Une bonne habitude d’entretien se construit sur des années. Si votre site vit encore dans l’ancien immeuble, ANOR organise le déménagement vers Odoo. Les cartons sont fournis. L’humour reste en option.