Faille PHP : les abonnés Free peuvent souffler, leur Freebox n’est pas concernée

Il y a eu un malentendu pour les millions de Freebox et des serveurs PHP. Le timing n’aidait pas : le recensement est tombé quelques heures avant que PHP publie en urgence les correctifs de deux failles critiques. On l’a relayé nous aussi, dans un article désormais corrigé.

Le chiffre venait d’Infrawatch, une jeune entreprise londonienne fondée par Lloyd Davies, qui scanne Internet en continu. Son rapport recensait 11 millions de services PHP actifs dans le monde, dont 6,62 millions en France, soit 62 % du total. Il attribuait l’essentiel de cette concentration à Freebox OS, l’interface de gestion des box de Free, détectée avec PHP sur 6,38 millions de services. Selon nos informations, Freebox OS n’utilise pourtant pas PHP. Ses fichiers de modèles (les « templates » qui servent à construire les pages de l’interface) portent bien l’extension .php, mais ils sont lus par un logiciel développé par Free, et aucun serveur PHP ne tourne dans la box.

Pourquoi le scanner s’est trompé

Un outil de recensement ne peut pas regarder à l’intérieur des machines qu’il croise. Il devine les technologies employées à partir d’indices visibles de l’extérieur, comme les adresses des pages, les extensions de fichiers ou certaines informations renvoyées par le serveur.

Une adresse qui se termine en .php est d’ordinaire un indice solide, ce qui explique l’erreur à cette échelle. Les deux failles touchant le cœur de PHP, une box sans interpréteur PHP n’a rien à corriger.

Infrawatch avait d’ailleurs prévenu qu’elle n’affirmait pas que ces équipements étaient attaquables, mais son article n’avait pas été corrigé ce mercredi à 11 h 30.

Le classement mondial en sort chamboulé. Le réseau de Free représentait à lui seul 6,37 millions de services dans ce décompte : sans lui, la France tomberait autour de 250 000 services, loin derrière les États-Unis et leurs 786 283 services. L’Italie, troisième avec 567 291 services, mérite aussi un second regard, puisque le deuxième réseau du classement, avec près de 500 000 services, est celui d’Iliad Italia, la filiale italienne du groupe de Free.

Ce qui ne change pas

Côté abonnés Free, il n’y a donc rien à faire sur la box pour ces deux failles.

L’alerte est néanmoins toujours valide. Les correctifs de PHP sont attendus à 16 h, et les millions de sites web qui tournent réellement sous PHP devront les appliquer au plus vite, comme on le détaillait dans notre article sur la mise à jour d’urgence de PHP. Pour les internautes, le risque passe par les boutiques en ligne et les sites où l’on a laissé ses coordonnées, avec les réflexes listés dans notre article sur les risques pour les achats en ligne.

Pour les abonnés Free, l’affaire est close. Le rendez-vous de 16 h tient toujours pour les sites web sous PHP, et les risques pour les données de leurs clients n’ont rien d’un faux positif.

Pour aller plus loin
Failles critiques dans PHP : alerte maximale et mise à jour d’urgence ce mercredi à 16 h

Pour aller plus loin
Failles critiques dans PHP : voici les réflexes à adopter pour vos paiements en ligne ces prochains jours