Des centaines de milliers de sites web suisses sont potentiellement vulnérables
Près d’un site web suisse sur six présente un risque de sécurité élevé, selon une analyse automatisée de l’ensemble des domaines en .ch. Plusieurs centaines de milliers de sites reposeraient encore sur des logiciels vulnérables côté serveur, malgré des correctifs disponibles depuis longtemps.
Risikomonitor.com publie une vaste analyse de l’écosystème des domaines suisses. L'entreprise technologique autrichienne a récemment scanné l'ensemble des domaines .ch (2,5 millions d'entrées actuellement enregistrées, plus 800’000 entrées historiques inactives). Pour chaque domaine, elle a créé des empreintes technologiques et analysé les données de sites web accessibles au public.
Selon ces données, 16% des domaines suisses reposent sur des serveurs exposés à des vulnérabilités critiques. Il s’agit de failles dont le score CVSS atteint au moins 9,0 ou plus, susceptibles de permettre des compromissions majeures selon leur mode d’exploitation, indique Risikomonitor.
L'entreprise précise qu'elle n'a effectué «aucun test de pénétration, aucune attaque active, aucun accès non autorisé aux systèmes» dans le cadre de cette étude. Il n'a donc pas été vérifié si des attaques exploitant ces vulnérabilités potentielles fonctionnaient réellement, ni si les exploitants des serveurs ont mis en place des mesures défensives.
La monoculture numérique: un risque et une opportunité
Risikomonitor cite quatre vulnérabilités particulièrement fréquentes avec un score CVSS supérieur à 9. Trois d'entre elles concernent le populaire serveur web Apache (plus de 500 000 domaines .ch touchés), une autre l'implémentation OpenSSL de Debian (plus de 600’000 domaines).
Outre les plus de 16% de domaines .ch exposés à des vulnérabilités critiques, les auteurs de l’étude ont identifié 17 à 18% de domaines présentant des failles de sévérité élevée (score CVSS de 7 à 8). L’analyse a également détecté des vulnérabilités de gravité moyenne (score de 4 à 6) dans 15 à 19% des domaines .ch. Ces résultats se recoupent en partie, note Risikomonitor. Un attaquant exploitant une première faille pourrait ainsi souvent en enchaîner d’autres, favorisant une propagation latérale au sein du réseau.
Risikomonitor identifie également une cause à ces pourcentages élevés: les monocultures numériques. De nombreux exploitants de sites web optent pour des configurations similaires. L’outil de détection a ainsi repéré plus de 1,6 million de domaines suisses reposant sur WordPress, soit près de la moitié de tous les domaines analysés. Selon l’analyse, jQuery 3.7.1 est par ailleurs présent sur plus d’un million de domaines.
Apache et Unix/Linux (CentOS, Ubuntu, Debian) dominent par ailleurs en tant que stack serveur, ce qui va de pair avec une forte concentration des hébergeurs: les trois principaux (Hostpoint, Infomaniak et Metanet) regroupent ainsi plus de 50% de l'ensemble de l'espace des domaines.
Le revers de cette monoculture: une seule faille met simultanément en péril un grand nombre d'installations. Mais cette monoculture représente aussi une opportunité : des mises à jour à l'échelle des plateformes permettent des améliorations de sécurité à grande échelle.
Le défi persistant des mises à jour
L’étude souligne que certaines des vulnérabilités potentielles sont connues depuis de nombreuses années, certaines d’entre elles depuis 2008. Des correctifs de sécurité pour combler ces failles sont par ailleurs disponibles depuis longtemps. «La Suisse ne dispose pas d'un système national coordonné de gestion des correctifs», précise l'entreprise.
Les auteurs constatent notamment que 12% de toutes les installations WordPress scannées n'ont plus été mises à jour depuis un certain temps. Ces instances peuvent être exploitées par des cybercriminels, par exemple pour l’envoi de spams. Ils recommandent aux hébergeurs de promouvoir activement les mises à jour automatiques pour les installations CMS obsolètes, voire de les rendre obligatoires.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
