Vulnérabilité "PHPShell": une prévention qui rapporte!

Évitez-vous les soucis grâce à la prévention

Si vous avez suivi un peu l'actualité générale depuis hier, vous avez sans doute vu passé l'histoire de la vulnérabilité PHP qui a été identifiée par des chercheurs en Intelligence Artificielle. Puisque ça fait partie de notre mission que d'accompagner les gens dans l'apprentissage et la maîtrise des technologies qui les entourent, nous avons cru pertinent de faire un petit retour sur les événements et faire un peu de formation/sensibilisation/prévention!

C'est quoi la Vulnérabilité "PHPShell", qu'est-ce qui arrive?

Tout d'abord, commençons par la bonne nouvelle! La vulnérabilité, baptisée "PHPShell" qui consiste en deux problèmes critiques très creux dans la mécanique, a été découverte parce que des chercheurs en cybersécurité veillant à tester la robustesse de différents systèmes ont mis à profit l'IA pour repérer des brèches qui avaient échappés aux humains depuis.

Ces "bons" hackers oeuvrent depuis les débuts de l'informatique à essayer tant bien que mal de faire des intrusions ou des tentatives de piratage de plusieurs site web, systèmes et objets connectés dans le but de parfaire leur solidité. Le tout s'inscrit dans l'objectif de maintenir une surveillance constante dans de découvrir les problèmes potentiels AVANT les "mauvais" hackers qui eux n'hésitent jamais à employer diverses stratégies, éthiques ou non.

Dans le doute, plusieurs ingénieurs/développeurs de systèmes ont fait la meilleure chose pour limiter tout risque: ils ont tiré sur la plug pour mettre les sites hors-ligne! C'est un peu gros que de complètement radier temporairement ses systèmes de l'Internet au complet, mais c'est la chose à faire lorsque l'incertitude règne et que les informations fiables sur la nature du problème sont encore floues. Cette histoire a donc fait couler beaucoup d'encre et a été très médiatisée mais la conséquence visible et impressionnate de voir des sites fermés servait à limiter tout dommage qui aurait pu affecter davantage la vie des gens et les systèmes dont ils dépendent.

Nous sommes donc chanceux que cette vulnérabilité ait été découverte puis adressée avant que des personnes malicieuses ne s'en soient servie pour faire trop de tort. Ceci dit, il n'est pas impossible qu'après quelques jours, on découvre que la vulnérabilité ait été finalement exploitée d'une manière ou d'une autre et que la réaction rapide des gens bien intentionnés soit quand même arrivée trop tard.

C'est quoi PHP?

C'est un language de programmation (interpréteur de code) utilisé par beaucoup de systèmes qui font fonctionner le web au quotidien. Voyez-le comme la fondation sur laquelle tout le reste se construit. Ici, l'inspecteur est passé avec son nouveau gadget qui peut voir là où l'oeil humain ne se rend pas et il a trouvé une micro-fissure dans le ciment qui aurait pu mener à un matin difficile où on aurait dû vider la cave parce que les meubles flottent après un méchant dégât d'eau! Pour le moment on a colmater le tout avant qu'une tempête ne se présente. C'est TRÈS fortuit.

Avec PHP, vous allez souvent y retrouver des Content Management Systems (CMS) populaires avec lesquels les développeurs vont accélérer la mise en place de site web, blogs, et bases de données, tels que Wordpress, Drupal et autres afin de ne pas avoir à rebâtir tout à partir de rien. Ces outils, et les sites webs développés avec, dépendent donc que le langage et son moteur qui interprète chaque ligne ne soit pas à risque sinon tout le reste devient incertain. Et, en ingénirie informatique comme civile, l'incertitude c'est rarement une bonne chose. Quand un pont se construit, il ne faudrait pas rester à la toute fin avec un boulon dans les mains en se disant que ça va sûrement tenir...

Comment Hélios Web réagit quand des événements comme ceux-si surviennent?

Premièrement, on ne le dira jamais assez que la meilleure réaction c'est la prévention. De ce fait, certains de nos clients qui avaient un site bâtit sur une infrastructure PHP avaient suivi nos recommandations de passer à des infrastructures plus modernes et robustes AVANT que cette vulnérabilité ne soit découverte. En cybersécurité, le risque ne sera jamais de zéro, mais toute logique porte à croire qu'une technologie lancée en 1995, même si elle est maintenue au fil du temps par des experts du domaine, ne pourra être designée jusque dans son fondement pur pour faire face à la quantité inimaginable de nouvelles technologies et outils qui sont apparues depuis. Certaines choses très fondamentales dans les architectures de systèmes ne peuvent pas être complètement changées facilement lorsque plus de 70% du web en dépend. Le moindre changement ou l'introduction d'instabilité pourrait mener à encore plus de problèmes.

Pour continuer dans l'analogie d'une maison, si la fondation travaille trop, le reste de la maison va s'affaisser et éventuellement s'effrondrer sur ses occupants si on n'agit pas de manière préventive assez tôt. Ainsi, nous avons pu aider nos clients d'abord en les enlevant carrément d'une zone que nous avions identifié à risque car, oui, PHP fait les manchettes cette semaine mais les problèmes de fond qui la concerne sont quand même assez fréquents. À cela, il faut ajouter les innombrables extensions Wordpress et autres qui sont développées par une multitude de firmes qui n'ont souvent aucune interactions entre-elles. L'Open-Source c'est magnifique quand on laisse quiconque développer une partie de solution qui pourra ensuite être reprise par d'autres pour sauver temps et argent, mais n'en demeure pas moins que la surveillance de l'intégrité en est aussi grandement complexifiée. On ne peut pas se fier uniquement sur la bonne foi des gens, il faut toujours penser les systèmes de façon à ce qu'ils soient attaqués éventuellement. Un principe qui existait dans les années 90 mais qui n'avait certainement pas la maturité qu'on lui connait aujourd'hui.

D'où pourquoi nous avions proposé à nos clients plus sensibles à ces risques de passer à autre chose et de migrer leurs sites et leurs outils afin de mieux les protéger. Pour les autres, ça été une opération de communication et de gestion d'inquiétudes hier et aujourd'hui qui n'était pas prévue à l'horaire et qui a affecté les opérations. Le bug n'a essentiellement rien causé comme conséquences graves, de ce que nous en savons à l'heure actuelle, mais tout le monde a quand même dû prendre du temps précieux pour réagir vite et s'assurer de maintenir leurs responsabilités quant à la protection des données de leurs clients et leurs entreprises. Parce que depuis que la Loi 25 est en vigueur au Québec, chaque opérant de système est responsable de veiller à l'utilisation responsable des informations personnelles des citoyens.

Comment savoir si je suis à risque?

C'est tout simple, demandez-nous! Si vous n'avez pas déjà un webmestre d'expérience chargé d'effectuer l'entretien de vos systèmes informatiques et de surveiller l'actualité techno et les nouvelles technologies, Hélios Web peut vous aider à faire le tour de la question et vous permettrre de profiter au maximum des outils pour lesquels vous payez souvent un bon prix.

Ce n'est pas nécessaire d'attendre la prochaine crise à gérer, contactez-nous dès maintenant pour une Consultation Découverte de 30 minutes GRATUITE afin qu'on discute ensemble de vos besoins!