// FRANDROID — CYBERSECURITY
Failles critiques PHP : comment les Freebox propulsent la France en tête des équipements les plus exposés au monde
La box Internet est sans doute l’ordinateur de la maison auquel on prête le moins d’attention. Elle est planquée, elle se met à jour en silence quand l’opérateur le décide… Personne ou presque ne s’interroge sur le langage informatique qui fait tourner son interface d’administration. Pourtant, ce mercredi matin, ce détail technique propulse le matériel de Free au sommet d’un palmarès mondial dont l’opérateur se serait volontiers passé, le jour même où les responsables du langage PHP publient en urgence les correctifs de deux failles critiques.
Pour mesurer l’ampleur du phénomène, il faut se pencher sur les relevés de Lloyd Davies, fondateur d’Infrawatch, une jeune entreprise londonienne qui scrute Internet afin de repérer les infrastructures exploitées lors de cyberattaques.
Sur les dernières 48 heures, son équipe a recensé 4,38 millions d’adresses IP faisant tourner des services PHP dans le monde. Or, près de la moitié d’entre elles (1,97 million) se trouvent en France, et il s’agit en grande majorité de Freebox, sur un parc total de 7,6 millions d’abonnés fixes revendiqués par Free.
Plus impressionnant encore, lorsqu’on comptabilise non plus les boîtiers mais chaque service ouvert sur différents ports (points d’accès réseau d’une même machine), l’Hexagone concentre 6,62 millions d’entrées sur 11 millions dans le monde, soit 62 % du total et plus de huit fois le volume des États-Unis. À lui seul, le réseau de Free pèse 6,37 millions de services exposés, soit treize fois plus que le deuxième du classement, qui n’est autre qu’Iliad Italia, la filiale italienne du même groupe.
Pour aller plus loin
Failles critiques dans PHP : alerte maximale et mise à jour d’urgence ce mercredi à 16 h
Attention toutefois à ne pas confondre visibilité et danger immédiat. Comme le souligne prudemment Infrawatch, rien ne prouve à cette heure que ces boîtiers sont directement attaquables.
Le recensement montre uniquement que ces Freebox répondent aux requêtes venues d’Internet via une interface utilisant PHP.
Pour déterminer si elles courent un risque réel, trois éléments techniques sont à éclaircir : il faut connaître la version exacte de PHP embarquée dans le système Freebox OS, les conditions précises permettant d’exploiter les deux brèches, et ce qu’un internaute non connecté au réseau du domicile peut réellement atteindre. Autant d’inconnues qui ne seront levées qu’à la publication des détails techniques, attendue cet après-midi à 16 heures avec le déploiement du correctif.
Concrètement, si les Freebox s’avéraient vulnérables, l’impact dépasserait largement celui d’un simple site web compromis. Là où le piratage d’une boutique en ligne vise avant tout à aspirer des données bancaires, la prise de contrôle d’un routeur à la maison ouvre une porte directe sur tout le réseau local du foyer.
La box voit en effet transiter tout le trafic Internet de la maison, pilote le réseau Wi-Fi, orchestre les objets connectés et héberge même, sur certains modèles, un disque dur personnel contenant des fichiers privés. Toute l’ambiguïté de la situation tient donc à ce calendrier délicat, où l’existence des failles a fuité avant même que l’on puisse vérifier si nos équipements à la maison y sont sensibles.