Coinbase et Bitgo pas concernés par la faille PHP ; CZ appelle à la prudence

« Traitez-moi de paranoïaque, mais soyez particulièrement prudents lorsque vous visitez N'IMPORTE QUEL site web au cours des prochains jours, car certains administrateurs web ne sont pas toujours à jour avec les correctifs de sécurité », a averti le cofondateur de Binance, Changpeng Zhao (CZ), ajoutant que les sites web affectés pourraient devenir « des vecteurs de vol d’identifiants ou d’exploits visant les appareils ». Binance a quant à lui déclaré avoir « mis en place des mesures de protection proactives avant la publication officielle du correctif et effectué les corrections nécessaires ».

Mettez à jour ou déconnectez-vous

PHP est un langage de programmation utilisé par environ 70 % des sites web dont le langage côté serveur est connu, selon W3Techs. Le CERT-EU a averti que ces vulnérabilités pourraient permettre à des attaquants d’exécuter leur propre code sur un serveur sans avoir à s’identifier. L’équipe PHP a publié des correctifs le 21 octobre. Cependant, chaque administrateur de site web doit les installer, ce qui laisse les sites non corrigés potentiellement exposés. « Si une mise à jour immédiate n’est pas possible, il est recommandé aux organisations de mettre le système hors ligne jusqu’à ce que la vulnérabilité soit entièrement corrigée », a averti l’Agence nationale de sécurité américaine (NSA).

Des « millions » de tentatives d’exploitation

À ce jour, seuls quelques acteurs majeurs du secteur des crypto-actifs ont publiquement abordé la question. Certains, dont Pancakeswap et Bitget Wallet, ont déclaré ne pas utiliser PHP, tandis que Kaia Chain a indiqué que PHP ne faisait pas partie de sa pile technique principale. Coinbase et Bitgo ont déclaré n’avoir constaté aucune exposition à ces vulnérabilités.

« Nous travaillons également avec nos fournisseurs tiers pour renforcer notre sécurité », a déclaré Jeff Lunglhofer, responsable de la sécurité chez Coinbase, sur X. Aucune exploitation d’entreprises du secteur des cryptomonnaies ni aucune perte de fonds des utilisateurs n’ont été signalées à ce jour, mais les attaquants sont de plus en plus actifs. «Au cours des 10 heures qui ont précédé l’annonce publique, nous avons constaté, sur l’ensemble du réseau @Cloudflare, des milliers de tentatives d’exploitation de cette faille. Ce chiffre est passé à plusieurs dizaines de milliers dans les 45 minutes qui ont suivi l’annonce, à plusieurs centaines de milliers en l’espace de 2 heures, et s’élève désormais à plusieurs millions », a déclaré Matthew Prince, PDG de Cloudflare, un important fournisseur de services cloud.

Tentatives d’attaque antérieures et problèmes chez les petites entreprises

Même si une entreprise a corrigé la vulnérabilité PHP le 21 octobre, cela ne signifie pas que les attaquants ne l’avaient pas déjà exploitée auparavant. Par exemple, Amazon a détecté une tentative d’exploitation de PHP2Shell remontant au 17 octobre.

« Mais les responsables de la sécurité ne doivent pas partir du principe que la date de divulgation publique correspond à la première date d’exploitation », a averti CJ Moses, responsable de la sécurité de l’information chez Amazon Integrated Security. Les petits services de crypto-actifs, notamment les commerçants qui acceptent le bitcoin et d’autres crypto-actifs, sont confrontés à un problème distinct : ils risquent d’appliquer les correctifs tardivement, voire pas du tout. Alors que les grandes entreprises disposent d’équipes de sécurité dédiées, une petite boutique qui accepte les bitcoins (BTC) via un plugin WordPress peut être contrainte de compter sur ses propres ressources ou sur son hébergeur web pour appliquer les correctifs PHP. Le célèbre processeur de paiement en bitcoins open source BTCPay Server ne fonctionne pas sur PHP lui-même, mais son plugin WooCommerce pour les boutiques WordPress, lui, fonctionne sur PHP.

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a également conseillé aux organisations de mettre hors ligne leurs systèmes basés sur PHP jusqu’à ce qu’elles puissent les corriger ou les mettre à jour.

Problèmes liés à eMudhra et avertissement de Lightning Labs

Par ailleurs, le secteur du bitcoin et des cryptomonnaies est confronté à une autre vulnérabilité liée à eMudhra, une autorité de certification numérique indienne. Des chercheurs ont découvert que les clés privées de huit de ses certificats intermédiaires étaient extrêmement faibles. Lorsqu’un utilisateur se rend sur un site web via HTTPS, un logiciel vérifie son certificat numérique pour confirmer l’identité du site. Avec l’une de ces clés faibles, un pirate pourrait créer un faux certificat pour le site web d’une plateforme d’échange. Les navigateurs ont commencé à bloquer ces certificats. Cependant, d’autres logiciels, tels que les bots de trading ou les applications disposant de leurs propres listes de certificats, pourraient ne pas le faire. Les utilisateurs doivent mettre à jour leurs logiciels pour s’assurer qu’ils rejettent les certificats concernés.

Olaoluwa Osuntokun, directeur technique chez Lightning Labs, a exhorté les utilisateurs de ses logiciels Bitcoin et Lightning Network à effectuer une mise à jour dès la découverte de la vulnérabilité eMudhra.

Restez vigilants

Bien que les utilisateurs ne puissent pas appliquer de correctifs aux serveurs des sites web qu’ils visitent, ils peuvent prendre des précautions. Ils doivent utiliser les sites web officiels enregistrés dans leurs favoris et ignorer les messages d’« update urgente ». Comme toujours, il est particulièrement important de vérifier soigneusement où leurs bitcoins ou autres crypto-actifs sont envoyés. Un portefeuille matériel affiche l’adresse vers laquelle les fonds sont envoyés, mais il ne peut pas déterminer si un site web piraté a affiché une adresse erronée. Les utilisateurs doivent confirmer les adresses de réception via une deuxième source, telle que l’application de la plateforme d’échange ou une adresse enregistrée.

« Je vais passer du développement à la menuiserie. C’est plus sûr. Rappelez-moi quand tout sera réparé », a plaisanté Nicolas Dorier, fondateur de BTCPay Server.