Après les vulnérabilités découvertes dans le langage de programmation des sites internet PHP, le CERC s’est réuni pour dresser le bilan au Luxembourg. A ce jour, aucun incident ne semble avoir touché les portails du pays.

Mercredi 21 octobre, des vulnérabilités dans le langage PHP, utilisé dans la programmation de nombreux sites internet, ont été dévoilées. Face aux risques de cyberattaques, de nombreux sites, notamment celui du gouvernement luxembourgeois, ont dû être mis à jour dans la précipitation, entraînant leur indisponibilité durant quelques heures.

Une semaine après, à la suite des recommandations émises à l’attention des organisations utilisant PHP, la Cellule d’évaluation du risque cyber (CERC) s’est réunie ce jeudi pour dresser un bilan de la situation. Depuis la divulgation de ces deux vulnérabilités critiques, les autorités compétentes n’ont constaté «ni tentative d’exploitation malveillante avérée ni compromission confirmée liée à ces failles.»

Lors de sa réunion du 21 octobre dernier, la CERC avait déjà procédé à une évaluation de la menace et formulé plusieurs recommandations destinées aux organisations concernées. La CERC a notamment recommandé l’application rapide des correctifs de sécurité mis à disposition par les éditeurs. Lorsque leur déploiement immédiat n’était pas envisageable, elle avait préconisé la mise en œuvre de mesures appropriées et, si nécessaire, la mise hors service temporaire des systèmes exposés.

«La CERC se félicite de la mobilisation rapide des acteurs concernés et constate que les mesures mises en œuvre, en particulier l’application diligente des correctifs de sécurité, ont permis de réduire significativement les risques associés à ces vulnérabilités.» La situation demeure néanmoins sous surveillance et les organisations sont invitées à maintenir un niveau de vigilance élevé ainsi qu’à poursuivre les mises à jour de sécurité.