De nombreux sites Internet touchés par des «vulnérabilités critiques»
Les sites de la STM et de la SAQ sont notamment concernés..
Deux vulnérabilités critiques ont été découvertes dans le langage de programmation PHP (Hypertext Preprocessor), utilisé par près de 70 % des sites Internet dans le monde. Ces failles permettent à des pirates d’exécuter du code à distance sans avoir besoin de s’authentifier, c’est-à-dire sans mot de passe ni autorisation. Selon Steve Waterhouse, expert en cybersécurité, cela revient à prendre le contrôle complet d’un site Web. Ces vulnérabilités ont été identifiées en août 2023, mais leur correction a été accélérée après une fuite d’information le 21 octobre, publiée par le site Hacker News.
Face à ces failles, plusieurs organisations ont réagi rapidement. La NSA (Agence de sécurité nationale des États-Unis) a recommandé de mettre hors ligne tout site utilisant PHP non mis à jour. Au Canada, le ministre de l’Intelligence artificielle et de l’Innovation numérique, Evan Solomon, a encouragé les organisations à appliquer les correctifs sans délai. Au Québec, des sites majeurs comme ceux de la STM (Société de transport de Montréal) et de la SAQ (Société des alcools du Québec) ont été temporairement fermés par précaution. Hydro-Québec a également mis hors ligne son Espace client et son application, bien que cette décision ne soit pas liée à la faille PHP.
Ces vulnérabilités ont été repérées grâce à l’intelligence artificielle, notamment avec le modèle GPT-5.6 Sol d’OpenAI. Selon cette entreprise, il s’agit de l’un des problèmes de sécurité les plus graves des dernières années. L’IA a permis de réduire considérablement le temps entre la découverte d’une faille et son exploitation, passant de plusieurs mois à quelques heures. Palo Alto Networks, une entreprise spécialisée en cybersécurité, a estimé que 22 millions de plateformes dans le monde étaient exposées à ces vulnérabilités.
Les conséquences de ces failles sont majeures : un pirate pourrait voler des données, modifier le contenu d’un site ou même le rendre inaccessible. Les sites gouvernementaux canadiens ont également été touchés et mis hors ligne par précaution. Steve Waterhouse souligne que ces incidents rappellent l’urgence de corriger rapidement les vulnérabilités, car les outils comme l’IA accélèrent à la fois la détection et l’exploitation des failles. Le PHP, créé dans les années 1990 par Rasmus Lerdorf, est un langage essentiel pour connecter les sites Web aux bases de données.
Pour limiter les risques, les experts conseillent d’appliquer immédiatement les correctifs disponibles pour PHP. Si une mise à jour immédiate n’est pas possible, la solution consiste à mettre le site hors ligne jusqu’à la correction complète. Les organisations doivent surveiller activement leurs systèmes et appliquer les bonnes pratiques de sécurité. Le Centre canadien pour la cybersécurité a également joué un rôle clé dans la coordination des mesures de protection au Canada.
