La box Internet est sans doute l’ordinateur de la maison auquel on prête le moins d’attention. Elle est planquée, elle se met à jour en silence quand l’opérateur le décide… Personne ou presque ne s’interroge sur le langage informatique qui fait tourner son interface d’administration. Pourtant, ce mercredi matin, ce détail technique propulse le matériel de Free au sommet d’un palmarès mondial dont l’opérateur se serait volontiers passé, le jour même où les responsables du langage PHP publient en urgence les correctifs de deux failles critiques.
Pour mesurer l’ampleur du phénomène, il faut se pencher sur les relevés de Lloyd Davies, fondateur d’Infrawatch, une jeune entreprise londonienne qui scrute Internet afin de repérer les infrastructures exploitées lors de cyberattaques.
Sur les dernières 48 heures, son équipe a recensé 4,38 millions d’adresses IP faisant tourner des services PHP dans le monde. Or, près de la moitié d’entre elles (1,97 million) se trouvent en France, et il s’agit en grande majorité de Freebox, sur un parc total de 7,6 millions d’abonnés fixes revendiqués par Free.
Plus impressionnant encore, lorsqu’on comptabilise non plus les boîtiers mais chaque service ouvert sur différents ports (points d’accès réseau d’une même machine), l’Hexagone concentre 6,62 millions d’entrées sur 11 millions dans le monde, soit 62 % du total et plus de huit fois le volume des États-Unis. À lui seul, le réseau de Free pèse 6,37 millions de services exposés, soit treize fois plus que le deuxième du classement, qui n’est autre qu’Iliad Italia, la filiale italienne du même groupe.
Pour aller plus loin
Failles critiques dans PHP : alerte maximale et mise à jour d’urgence ce mercredi à 16 h
Une forte exposition qui ne signifie pas forcément une vulnérabilité
Attention toutefois à ne pas confondre visibilité et danger immédiat. Comme le souligne prudemment Infrawatch, rien ne prouve à cette heure que ces boîtiers sont directement attaquables.
Le recensement montre uniquement que ces Freebox répondent aux requêtes venues d’Internet via une interface utilisant PHP.
Pour déterminer si elles courent un risque réel, trois éléments techniques sont à éclaircir : il faut connaître la version exacte de PHP embarquée dans le système Freebox OS, les conditions précises permettant d’exploiter les deux brèches, et ce qu’un internaute non connecté au réseau du domicile peut réellement atteindre. Autant d’inconnues qui ne seront levées qu’à la publication des détails techniques, attendue cet après-midi à 16 heures avec le déploiement du correctif.
Concrètement, si les Freebox s’avéraient vulnérables, l’impact dépasserait largement celui d’un simple site web compromis. Là où le piratage d’une boutique en ligne vise avant tout à aspirer des données bancaires, la prise de contrôle d’un routeur à la maison ouvre une porte directe sur tout le réseau local du foyer.
La box voit en effet transiter tout le trafic Internet de la maison, pilote le réseau Wi-Fi, orchestre les objets connectés et héberge même, sur certains modèles, un disque dur personnel contenant des fichiers privés. Toute l’ambiguïté de la situation tient donc à ce calendrier délicat, où l’existence des failles a fuité avant même que l’on puisse vérifier si nos équipements à la maison y sont sensibles.
Quels réflexes adopter si vous êtes abonné Free ?
Sollicité ou scruté de près, Free n’avait pas encore communiqué sur le sujet ce mercredi matin. Si un correctif s’avère nécessaire, il prendra la forme d’une mise à jour du Freebox Server déployée directement par l’opérateur : comme lors des précédents correctifs, un simple redémarrage électrique du boîtier suffit généralement à forcer son installation.
En attendant d’y voir plus clair, les abonnés ayant activé l’accès à distance à leur interface Freebox OS (via une adresse dédiée en freeboxos.fr) ont tout intérêt à vérifier leurs réglages.
Il suffit pour cela d’ouvrir les paramètres de la Freebox en « Mode avancé », puis de se rendre dans la rubrique « Gestion des accès ».
Si vous n’utilisez jamais cette fonction de contrôle hors de chez vous, la désactiver par précaution ne coûte rien et coupe court à toute tentative d’intrusion extérieure, en complément des bonnes pratiques habituelles pour protéger vos achats et données en ligne.
Au-delà de l’alerte immédiate, voir la France dominer un tel classement mondial rappelle les risques liés à la monoculture technique de nos infrastructures.
Cela met en lumière le fait qu’un seul opérateur concentre l’écrasante majorité de la surface d’exposition nationale. Si le matériel de Free devait effectivement être patché en urgence, la sécurité numérique de près de deux millions de foyers reposerait alors sur une seule mise à jour, et sur la réactivité de l’opérateur à la déployer.
Pour aller plus loin
Failles critiques dans PHP : voici les réflexes à adopter pour vos paiements en ligne ces prochains jours
Retrouvez tous les articles de Frandroid directement sur Google. Abonnez-vous à notre profil Google pour ne rien manquer !
Le meilleur moyen de nous donner un coup de pouce, c’est d’ajouter Frandroid à vos sources préférées sur Google.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.