Quand un bug du web fait taire les alertes sismiques : la leçon japonaise de la crise PHP
Rares sont ceux qui pensent au langage de programmation derrière les sites qu’ils consultent. Cette semaine, des millions de Japonais ont eu une raison de le faire. Deux failles critiques dans PHP, ce langage serveur vieux de plusieurs décennies qui fait encore tourner une grande partie d’internet, ont déclenché une course mondiale aux correctifs, avec un effet secondaire inattendu : les alertes sismiques sur les téléphones.
Un système d’alerte en pause
SoftBank, troisième opérateur mobile du Japon, a suspendu ses messages d’alerte d’urgence tôt vendredi matin, le temps de sécuriser les systèmes exposés. Les clients de SoftBank et de ses marques à bas prix Y!mobile et LINEMO ont été prévenus que, jusqu’à la fin de la maintenance lundi, leurs téléphones ne sonneraient ni pour les alertes précoces de séisme, ni pour les tsunamis, ni pour les avis d’évacuation. L’opérateur les a orientés vers une application d’alerte distincte.
Dans un pays où le hurlement d’un téléphone quelques secondes avant une secousse fait partie du quotidien, l’arbitrage est remarquable. Il montre à quel point une technologie web ordinaire s’est glissée dans des infrastructures que l’on croit conçues sur mesure et isolées. Et il montre que les opérateurs jugent désormais un serveur non corrigé plus dangereux que quelques jours sans un canal de sécurité essentiel.
Pourquoi cette faille est différente
Selon les chercheurs, les deux failles se trouvent dans le langage lui-même et non dans un produit isolé : des versions publiées sur une dizaine d’années sont concernées. Un attaquant pourrait exécuter du code sur un serveur sans s’authentifier. Les correctifs sont arrivés en milieu de semaine, mais les tentatives d’exploitation se comptaient déjà par millions. Banques, compagnies ferroviaires et aériennes, administrations au Japon et en Europe ont coupé certains services par précaution. Aucune intrusion confirmée n’a été signalée à ce jour.
Une ironie pèsera sur le débat : ces failles sont restées invisibles pendant des années et ont été mises au jour grâce à des outils d’IA. La même technologie qui rend la recherche de faiblesses moins coûteuse la rend aussi moins chère pour les criminels.
La réponse de Tokyo : s’attaquer soi-même d’abord
Le gouvernement japonais annonce la création d’une équipe chargée de simuler, à l’aide de l’IA, des cyberattaques contre les systèmes du pays, afin de repérer les points faibles avant d’autres. C’est le passage d’une logique de réaction à un test permanent, courant chez les géants de la tech mais plus rare dans l’administration.
Pour le reste de l’Asie, l’épisode soulève des questions concrètes :
- Quels services critiques reposent sur des logiciels web génériques que personne n’a recensés ?
- Les canaux d’urgence disposent-ils d’une solution de secours qui ne partage pas le même point faible ?
- Les petites communes et les hôpitaux peuvent-ils corriger aussi vite que les grands opérateurs ?
Les réponses varieront de Séoul à Jakarta, mais la leçon est commune : la résilience, ce n’est pas seulement des murs solides, c’est savoir ce qu’il y a derrière. Les opérateurs japonais rétabliront sans doute leurs alertes en quelques jours. Le plus difficile sera d’empêcher le prochain bug invisible de pouvoir les éteindre.