En bref : le niveau d'alerte orange du BSI (office fédéral allemand de la sécurité des technologies de l'information) est le deuxième niveau le plus élevé sur quatre. Il signifie que la situation de menace informatique est critique pour l'activité et que le fonctionnement normal peut être massivement perturbé. Pour PHP2Shell, le BSI a attribué ce niveau 3 et recommande la mise à jour immédiate ou, si ce n'est pas possible, de mettre temporairement hors réseau les serveurs web concernés. Pour les entreprises, orange signifie : le sujet doit être à l'ordre du jour de la direction dès aujourd'hui.
Ce que ce classement signifie pour les décideurs
De nombreux dirigeants ont entendu parler dans l'actualité de « niveau d'alerte orange » sans savoir comment le situer. Est-ce une alarme pour tous ou un sujet pour le service informatique ? La réponse courte : orange est le niveau auquel le BSI considère que les personnes concernées risquent de sérieuses perturbations de leur activité si elles n'agissent pas rapidement.
Selon hessenschau, le BSI a parlé, pour PHP2Shell, d'un potentiel de menace exceptionnel. Il s'attendait à une exploitation rapide et à grande échelle. Au moment de l'alerte, des attaques réussies confirmées à grande échelle n'étaient, selon le BSI, pas connues. Les deux vont ensemble : le niveau élevé décrit le risque, non un dommage déjà survenu.
Le niveau d'alerte orange du BSI et les trois autres niveaux
Le BSI classe ses alertes de cybersécurité sur une échelle de 1 à 4. Le tableau suivant en rend le sens :
| Niveau | Couleur | Signification (en substance) |
|---|---|---|
| 1 | Gris | situation de menace informatique sans anomalies notables |
| 2 | Jaune | observation renforcée d'anomalies, fonctionnement normal par moments perturbé |
| 3 | Orange | situation critique pour l'activité, perturbation massive du fonctionnement normal |
| 4 | Rouge | situation extrêmement critique, fonctionnement normal impossible à maintenir dans de nombreux domaines |
Le niveau renseigne sur la situation d'ensemble, non sur votre serveur en particulier. Un serveur web entièrement corrigé et vérifié est en bonne position même à l'orange. Un serveur non corrigé sous PHP 8.1 et mod_php est exposé même à un niveau plus bas.
Comment utiliser l'échelle en interne
De nombreuses entreprises ont leurs propres niveaux d'urgence, par exemple dans le manuel de crise ou dans le cadre d'un système de gestion de la sécurité de l'information. Il vaut la peine d'y rattacher durablement les niveaux du BSI. Une règle simple peut être : au jaune, l'informatique vérifie dans le cadre de l'activité normale. À l'orange, la direction est informée le jour même, un responsable est désigné et l'état de tous les systèmes concernés est relevé par écrit. Au rouge, la cellule de crise se réunit.
Ainsi, une information devient une réaction entraînée. Qui a défini l'association à l'avance n'a pas à discuter, le moment venu, de savoir si la situation est « assez grave ». Pour PHP2Shell, cette règle aurait signifié : dès le 21 octobre, inventaire, plan de correctifs et décision sur les mises hors ligne.
Le BSI publie lui-même les alertes sur son site, où elles sont aussi mises à jour en fonction de nouvelles connaissances. Il vaut la peine de lire la version la plus récente, car les recommandations et évaluations peuvent changer au cours d'une situation.
Pourquoi PHP2Shell est à l'orange et non au rouge
On compare souvent avec Log4Shell. Pour la faille de la bibliothèque Java Log4j, le BSI avait déclaré le niveau rouge en décembre 2021, notamment, selon les rapports de l'époque, parce que la faille était exploitable trivialement et que des compromissions étaient déjà connues. En janvier 2022, l'alerte a été rétrogradée au jaune, selon le Bundestag.
Seul le BSI connaît la justification exacte de l'orange pour PHP2Shell. Les différences visibles sont la situation en matière d'attaques confirmées et le fait qu'une mise à jour est disponible pour toutes les branches PHP prises en charge. Une comparaison détaillée est proposée dans l'article PHP2Shell et Log4Shell. L'orange n'est pas pour autant une fin d'alerte. La recommandation de mettre au besoin les serveurs hors réseau est une consigne claire de la part d'une autorité.
Le niveau d'alerte peut changer, dans les deux sens. Ce qui fait foi est l'état actuel sur le site du BSI, non un article de journal de la veille.
Ce que l'orange ne signifie pas
Trois malentendus nous reviennent actuellement souvent :
- « Orange signifie que nous sommes piratés. » Non. Le niveau décrit la situation de menace, non un constat sur vos systèmes.
- « Orange ne concerne que les autorités. » Non. Les alertes s'adressent à tous les exploitants de systèmes concernés, y compris les petites entreprises.
- « Si nous avons Cloudflare ou un WAF, l'orange ne nous concerne pas. » Non. Les règles de protection réduisent le risque, mais ne remplacent pas la mise à jour de PHP.
La question de savoir si l'alerte entraîne des obligations juridiques, par exemple dans le cadre de NIS2, dépend de votre secteur et de votre taille. Ceci n'est pas un conseil juridique ; clarifiez les détails avec votre conseil juridique ou votre délégué à la protection des données.
Traduire le classement en décisions
Un niveau d'alerte ne vaut que par les décisions qui en découlent. Pour PHP2Shell, nous recommandons aux entreprises cet ordre :
- Déterminer qui est concerné : quels serveurs et sites fonctionnent avec PHP, qui les exploite ?
- Prouver le niveau de correctif : version corrigée 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou rétroportage confirmé par le fournisseur.
- Assurer le redémarrage : tous les processus PHP doivent avoir été redémarrés.
- Si ce n'est pas possible immédiatement : appliquer des mesures transitoires ou mettre temporairement le serveur hors réseau, comme le recommande le BSI. Les options sont décrites dans Mesures immédiates sans correctif.
- Rechercher des traces et sauvegarder les journaux : à partir du 20 octobre.
- Documenter les décisions : qui a décidé quoi, quand et sur quelle base.
Ce dernier point est sous-estimé. Qui a agi de manière traçable face à une alerte officielle de niveau orange est mieux placé vis-à-vis des assureurs, des clients et des autorités de contrôle. La page sur la responsabilité de la direction en donne le contexte.
Comment PHP SOS aide-t-il concrètement ?
- Situation pour votre entreprise : nous traduisons le classement du BSI en une liste priorisée de vos systèmes concernés.
- Mise en œuvre de la recommandation : nous corrigeons, redémarrons ou appliquons des mesures transitoires jusqu'à ce que la mise à jour soit possible.
- Preuve : vous recevez une documentation de ce qui a été fait, quand, sur quel serveur.
- Suivi : si le BSI modifie le classement ou si de nouvelles informations paraissent, nous les évaluons pour vos systèmes.
Plus d'informations sous assistance immédiate PHP2Shell.
Conclusion
Le niveau d'alerte orange est le deuxième niveau le plus élevé du BSI et il est bien fondé pour PHP2Shell. Il n'exige pas de panique, mais une décision le jour même : corriger, redémarrer, vérifier ou mettre temporairement hors ligne. Qui le documente a lu l'alerte correctement.
Questions fréquentes
Combien de niveaux d'alerte le BSI utilise-t-il ?
Les alertes de cybersécurité du BSI utilisent quatre niveaux : 1 / gris, 2 / jaune, 3 / orange et 4 / rouge. L'orange est le deuxième niveau le plus élevé et décrit une situation de menace informatique critique pour l'activité, avec une perturbation massive du fonctionnement normal.
Le niveau d'alerte orange est-il une obligation d'agir ?
L'alerte elle-même est une évaluation technique assortie de recommandations. Les obligations qui en découlent pour votre entreprise, par exemple au titre de NIS2, de contrats ou de conditions d'assurance, dépendent du cas particulier. Clarifiez-le avec votre conseil juridique ; ceci n'est pas un conseil juridique.
Pourquoi PHP2Shell n'est-elle pas au niveau rouge ?
Les raisons d'un classement relèvent du BSI lui-même. Une différence avec Log4Shell, qui avait reçu le rouge en 2021, est frappante : selon les rapports de l'époque, des compromissions y étaient déjà connues. Pour PHP2Shell, des attaques réussies confirmées à grande échelle n'étaient, selon le BSI, pas connues dans un premier temps.
Le niveau d'alerte peut-il changer ?
Oui. Le BSI adapte ses classements à la situation, à la hausse comme à la baisse. Log4Shell a par exemple été rétrogradé du rouge au jaune en janvier 2022, selon le Bundestag. Vérifiez l'état actuel directement auprès du BSI.