Vous êtes CEO : que devez-vous faire ?

Ce que contient le serveur détermine l’ampleur d’une attaque. Selon la source, il peut héberger les pages du site, parfois des documents, des identifiants techniques et des accès à une base de données. Les conséquences dépendent donc de ce que le programme compromis est autorisé à lire ou à modifier, de l’arrêt d’un site à l’accès aux informations qu’il traite.

Le premier périmètre : les sites et services accessibles en ligne

La vérification doit couvrir le site institutionnel, mais aussi la boutique en ligne, les espaces clients, les portails de commande des distributeurs et les applications accessibles aux partenaires. Les API, ces interfaces par lesquelles des logiciels échangent des informations, doivent également être recherchées lorsqu’elles utilisent PHP.

Une intrusion peut avoir des effets moins visibles qu’une panne. Selon les droits obtenus, un attaquant pourrait consulter des fichiers ou modifier du contenu, et un site peut continuer à s’afficher pendant que ses accès sont détournés. Une page d’accueil qui fonctionne ne constitue donc pas une preuve de sécurité.

La présence de PHP ne prouve ni une intrusion ni une vulnérabilité persistante si le correctif a déjà été appliqué. Les autorités européennes demandent de donner la priorité aux systèmes exposés sur Internet.

Prestataires et interruption préparée

Une entreprise peut avoir confié son site à une agence, son hébergement à une autre société et sa maintenance à un indépendant. Le contrat et le type d’offre déterminent qui intervient. Le dirigeant doit donc obtenir, pour chaque service, qui administre PHP, quelle correction a été appliquée, à quelle date et qui a vérifié l’utilisation de la version corrigée.

L’éditeur de GLPI, outil de gestion du parc et du support informatique, indique avoir corrigé son offre cloud dès le 21 octobre. Pour les installations hébergées par leurs utilisateurs, il demande une mise à jour de PHP sur le serveur. Le nom du logiciel reste identique, mais la responsabilité de l’intervention change selon le mode d’hébergement.

Si une application ne peut pas être corrigée immédiatement, sa suspension peut devenir nécessaire. Des campagnes publicitaires peuvent continuer d’envoyer des acheteurs vers un service fermé, si bien que le responsable commercial, le marketing et le service client doivent disposer d’une consigne commune avant toute interruption.

Corriger ne suffit pas

La disponibilité des correctifs ne dit pas ce qui s’est passé avant leur installation. Si un attaquant a déjà obtenu un accès, la mise à jour ne supprime pas à elle seule un programme malveillant laissé sur le serveur. Le NCSC britannique recommande de rechercher des signes de compromission et des accès persistants, avec l’aide d’un prestataire spécialisé si nécessaire.

Les équipements doivent aussi être examinés, car PHP peut faire fonctionner certaines consoles de vidéosurveillance ou de gestion technique. Tous n’en font pas usage : le fabricant ou l’intégrateur doit confirmer le cas de chaque installation.

Si des données personnelles sont concernées, le RGPD prévoit une notification à l’autorité compétente dans les meilleurs délais et, si possible, sous 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. La CNIL détaille cette procédure. La seule découverte d’un PHP vulnérable ne déclenche pas automatiquement une notification.

Selon l’équipe PHP, les mesures de filtrage ou de configuration peuvent réduire certains risques, mais elles ne remplacent pas une mise à jour corrective.