Un grand nombre de sites gouvernementaux a été mis hors ligne par sécurité.
Une faille de sécurité informatique mondiale majeure, baptisée « PHP2shell », a contraint le gouvernement mauricien à prendre une mesure d’urgence drastique durant la semaine écoulée : la mise hors ligne préventive de la majorité de ses sites internet.
C’est une crise numérique d’une ampleur inédite qui frappe le monde depuis mercredi, avec une partie de l’Internet mondial mise à l’arrêt. Au cœur du problème, une vulnérabilité critique affectant PHP, un langage de programmation qui constitue l’architecture de la grande majorité des sites web mondiaux, y compris une partie de ceux du gouvernement mauricien. Face à la menace d’une attaque imminente, le National Cyber Security Committee (Comité national de cybersécurité) a été immédiatement saisi.
Le problème réside dans une faille de conception du langage PHP lui-même, permettant à un hacker de prendre le contrôle d’un serveur sans nécessiter de mot de passe. Face à cette menace globale, l’expertise locale a été mobilisée.
Interrogé samedi, le ministre des Technologies de l’information, de la Communication et de l’Innovation, Avinash Ramtohul, explique que la menace a été détectée et analysée rapidement, menant à une recommandation unanime : « Proactivement, nous avons mis hors ligne les services pour protéger les données » des citoyens. Cette décision a impliqué l’arrêt technique d’environ 70 % des sites gouvernementaux, ceux fonctionnant sous PHP.
Le ministre insiste sur le fait que cette coupure était une mesure défensive et non la conséquence d’un piratage avéré. « Il n’y a aucun risque qu’il y ait des données qui finissent par être ‘hackées’ (piratées) », affirme-t-il, précisant que les bases de données sont protégées par des pare-feux (firewalls). « Il n’y a pas non plus la possibilité qu’il y ait des données volées. »
La remise en ligne des services s’effectue de manière progressive, au fur et à mesure de l’application d’un correctif (patch) fourni par les éditeurs de logiciels. « À ce jour, 85 à 90 % de nos services ont été remis en ligne », précise le ministre.
Le retard dans la restauration totale du réseau s’explique par des contraintes administratives et techniques. Si le ministère a pu agir rapidement sur ses propres serveurs, la situation est plus complexe pour les sites développés par des compagnies externes, explique Avinash Ramtohul. Il rappelle, dans la foulée, que les applications mobiles qui ne reposent pas sur la technologie PHP ne sont pas concernées par cette coupure.
Un problème mondial
Détaillant le mécanisme de l’attaque, Longanaden Velvindron, membre fondateur de Cyberstorm.mu, une com-munauté mauricienne de cybersécurité spécialisée dans l’open source, souligne : « Le problème avec ‘PHP2shell’, c’est que la faille ne se trouve pas dans la porte du magasin, mais dans la serrure elle-même. » Il fait comprendre qu’« un pirate informatique peut envoyer un message piégé au site internet, sans avoir besoin de se connecter ni de connaître aucun mot de passe. Ce message piégé trompe le moteur du site et donne au pirate les clés absolues de l’ordinateur qui héberge le site web. »
Longanaden Velvindron fait observer la gravité de la situation à l’échelle mondiale. « Considéré comme l’un des dangers les plus urgents de l’année, ce problème a obligé les gestionnaires de serveurs du monde entier à installer en urgence des correctifs de protection. » Il a toutefois tenu à souligner le rôle actif de Maurice dans la résolution de ce type de crise : « Le travail de protection mené par Cyberstorm.mu rappelle qu’en matière de sécurité informatique, l’île Maurice ne fait pas que subir la technologie : elle aide à la protéger pour la planète entière. »
Interrogé sur la sécurité des données personnelles des citoyens après cette opération, le ministre Ramtohul maintient son message de prudence et de responsabilité. « Nous pouvons rassurer […] parce que nous avons agi proactivement. Mais il y a aussi des sites privés. Chacun a sa responsabilité », conclut-il. En attendant, les techniciens poursuivent l’application des correctifs de sécurité pour permettre à l’ensemble des services publics de retrouver leur fonctionnement normal.
Qu’est-ce que PHP et quel est le danger ?
PHP (acronyme de PHP: Hypertext Preprocessor) est un langage de programmation informatique principalement utilisé pour le développement web. Il s’exécute sur l’ordinateur hébergeant le site (le serveur) et non sur l’ordinateur du visiteur. C’est l’outil invisible qui permet de générer des pages web dynamiques, de gérer l’accès aux bases de données (comme les identifiants de connexion) et de faire fonctionner des systèmes de gestion de contenu très populaires, notamment WordPress. Aujourd’hui, PHP est utilisé par environ 70 % des sites internet mondiaux.
Le danger réside dans une vulnérabilité critique récemment découverte (baptisée « PHP2shell »). Contrairement aux piratages classiques qui nécessitent de voler un mot de passe, cette faille se situe dans le cœur même du langage. Un hacker peut envoyer une requête malveillante qui trompe le serveur et lui donne un contrôle total sur la machine, sans avoir besoin d’aucun identifiant.
Les conséquences peuvent être désastreuses : vol de données confidentielles (données clients, informations d’État), modification du contenu des pages web, ou utilisation du serveur piraté pour lancer d’autres attaques informatiques à travers le monde. Les mises à jour logicielles classiques des sites web ne suffisent pas à corriger ce défaut ; il nécessite l’installation de correctifs spécifiques au niveau du serveur.
Faille PHP : Mauritius Telecom propose un outil de détection gratuit
Les propriétaires de sites web à Maurice peuvent vérifier gratuitement si leurs plateformes sont exposées à une faille informatique critique affectant le langage PHP. Mauritius Telecom (MT) a lancé une alerte vendredi soir et mis en ligne un outil de diagnostic accessible à tous.
Pour effectuer le test, il suffit de saisir l’adresse du site sur php-cve-26.telecom.mu. Le résultat est annoncé dans un délai d’une minute. Si une exposition est détectée, le propriétaire du site est invité à transmettre les informations obtenues à la personne chargée de sa maintenance.
MT indique que l’outil est entièrement gratuit. L’opérateur présente cette initiative comme étant « construite pour le peuple de Maurice ».