C’est une maintenance préventive qui touche depuis hier certains sites internet. 

À l’heure où nous écrivons, les sites des préfectures, une partie du site des impôts, le site de la Commission nationale de l'informatique et des libertés (CNIL), quelques sites d’universités dont Paris 8 ou encore l’université Toulouse Capitole ou encore certains services de la Ville de Paris ou de la Métropole de Lille sont inaccessibles. 

Deux vulnérabilités critiques 

Contrairement aux incidents qui ont eu lieu cet été contre les administrations françaises (lire Maire info du 2 septembre), la cause de ces maintenances n'est pas une cyberattaque. 

Le ministère de l’Intérieur explique cette maintenance : « Cela fait suite à une vulnérabilité critique de sécurité, annoncée quelques heures auparavant par l’éditeur d’un composant logiciel générique utilisé à travers le monde », appelé PHP. 

Plus précisément, l’Anssi parle de « deux vulnérabilités critiques dont l’exploitation rapide est à craindre », soit des failles de sécurité trouvées dans PHP.  Selon l’AFP, ces failles ont été repérées grâce à l'intelligence artificielle (IA) dans ce logiciel de programmation très utilisé sur internet. La publication officielle de « correctifs »  pour répondre à ces failles était prévue pour aujourd'hui (le 22 octobre), mais l’information a fuité en ligne quelques jours avant. Les correctifs ont donc été publiés en urgence hier. Voilà pourquoi plusieurs sites sont hors ligne : le temps d’installer les mises à jour de sécurité qui corrigent les failles et de vérifier que tout fonctionne avant de les rouvrir.

PHP est un outil installé sur les serveurs, qui sert à faire fonctionner les sites web : espaces personnels, formulaires... Cet outil étant utilisé à l’international, des sites ont été mis hors ligne dans de nombreux pays notamment aux Pays-Bas (site du Parlement et plusieurs services publics en ligne), en Belgique ou encore en Allemagne (administrations, hôpitaux, universités ou médias).

Pour l’heure, on ne sait pas si ces failles ont eu le temps d’être exploitées par des cyberattaquants. En attendant un retour à la normale, les préfectures publient leurs informations sur les réseaux sociaux via leurs comptes officiels. 

Résilience numérique de l’État 

Au lendemain de la mise en maintenance de ces multiples sites internet, dont plusieurs sont de la responsabilité de l’État, la Cour des comptes publie un rapport sur les outils de bureautique de l’État, où elle réclame de réduire la dépendance à Microsoft au profit de logiciels libres. Les magistrats estiment qu’une solution libre en mode cloud pour l’État devrait « à terme, devenir la norme »  dans les administrations, « pour des motifs de souveraineté et d’indépendance vis-à-vis d’éditeurs ». Elle y voit une dépense évitée « pouvant aller jusqu’à 130 millions d’euros par an »  et appelle à un plan de migration « sur trois à quatre années au maximum ».

Cependant, rappelons que PHP n’est pas un éditeur comme Microsoft puisque c’est un logiciel libre. La question de la dépendance commerciale qui est centrale dans le rapport de la Cour des comptes ne suffit donc pas à elle seule à résoudre le problème de la cybersécurité des sites des administrations publiques. Au-delà des dépendances, d’autres enjeux se posent comme la capacité à réagir rapidement face à une attaque ou une faille et la maîtrise de la continuité de ses services.

C’est précisément l’esprit de la directive européenne NIS 2, qui vise à renforcer la gestion des vulnérabilités, la notification des incidents et la résilience de plusieurs acteurs notamment les entreprises mais aussi l’État lui-même et les collectivités. Mais, alors même que la Commission européenne a saisi la Cour de justice européenne contre la France pour sa transposition tardive de la directive NIS 2, l'examen du projet de loi à l'Assemblée nationale a une fois encore été repoussé au début du mois d’octobre (lire Maire info du 6 octobre).