Ca chauffe dans les services admin server^^
La cellule Sûreté m'a appelé ce matin à 6h12.
« Patchons immédiatement tous les serveurs PHP. »
J'ai demandé ce qui s'était passé.
« Deux vulnérabilités critiques. Exécution de code à distance. Aucune authentification requise. »
Génial.
Combien de serveurs PHP avons-nous ?
Selon l'inventaire : 12
Selon la réalité :
Personne ne le sait.
Nous en avons trouvé un qui fait tourner WordPress.
Trois qui gèrent d'anciens outils internes.
Un sous le bureau de quelqu'un.
Deux dans des appareils de fournisseurs.
Un répertoire d'employés oublié de 2016.
Et un serveur nommé :
PHP-OLD-DO-NOT-TOUCH
Bien sûr, c'est celui qui gère la paie.
Ensuite, nous avons trouvé une machine PHP-5.6.
J'ai demandé à qui elle appartenait.
La documentation indiquait :
BRIAN.
Brian est parti en 2019.
Nous avons appelé Brian.
Il a dit :
« Oh putain, il tourne encore ? »
Excellent.
À 8 heures du matin, la direction a rejoint l'appel d'incident.
PDG :
« Les hackers peuvent vraiment entrer ? »
Sûreté :
« Potentiellement oui. »
PDG :
« Sans mot de passe ? »
Sûreté :
« Oui. »
PDG :
« Pourquoi on a besoin de MOTS DE PASSE, nous, alors ? »
Belle leçon.
Le département financier a demandé si on ne pouvait pas attendre le week-end pour appliquer les correctifs, parce que les pannes affectent le chiffre d'affaires.
La cellule Sûreté a expliqué que l'alternative consistait à laisser des étrangers exécuter du code sur nos serveurs.
Le département financier a exigé un comparatif des coûts.
À 9h17, quelqu'un a proposé de mettre temporairement hors ligne les sites vulnérables.
Le marketing a refusé.
« Notre campagne est en direct. »
Donc, l'entreprise a officiellement décidé dans l'heure suivante que le maintien d'une landing page pour 20 % de réduction sur les inscriptions aux webinaires était plus important que la prévention d'une prise de contrôle à distance des serveurs.
Nous avons finalement patché tout ce que nous avons pu trouver.
Puis notre scanner a détecté un autre serveur PHP.
Nom d'hôte :
TEMP-PHP-2014
Durée de fonctionnement :
4 512 jours.
Personne ne sait ce qu'il fait.
Personne ne le possède.
Personne ne peut l'éteindre.
Mais à chaque fois qu'on bloque l'accès réseau, l'entrepôt arrête d'imprimer les étiquettes d'expédition.
La cellule Sûreté l'a classé comme infrastructure critique.
Il tourne sous PHP 5.4.
La vulnérabilité existe depuis plus longtemps que la moitié de nos employés.
Le correctif d'urgence a pris quatre heures.
Comprendre ce que PHP fait vraiment a pris onze heures.
Internet n'est pas tenu ensemble par du code.
Il est tenu ensemble par des serveurs que tout le monde a peur d'éteindre.
La cellule Sûreté m'a appelé ce matin à 6h12.
« Patchons immédiatement tous les serveurs PHP. »
J'ai demandé ce qui s'était passé.
« Deux vulnérabilités critiques. Exécution de code à distance. Aucune authentification requise. »
Génial.
Combien de serveurs PHP avons-nous ?
Selon l'inventaire : 12
Selon la réalité :
Personne ne le sait.
Nous en avons trouvé un qui fait tourner WordPress.
Trois qui gèrent d'anciens outils internes.
Un sous le bureau de quelqu'un.
Deux dans des appareils de fournisseurs.
Un répertoire d'employés oublié de 2016.
Et un serveur nommé :
PHP-OLD-DO-NOT-TOUCH
Bien sûr, c'est celui qui gère la paie.
Ensuite, nous avons trouvé une machine PHP-5.6.
J'ai demandé à qui elle appartenait.
La documentation indiquait :
BRIAN.
Brian est parti en 2019.
Nous avons appelé Brian.
Il a dit :
« Oh putain, il tourne encore ? »
Excellent.
À 8 heures du matin, la direction a rejoint l'appel d'incident.
PDG :
« Les hackers peuvent vraiment entrer ? »
Sûreté :
« Potentiellement oui. »
PDG :
« Sans mot de passe ? »
Sûreté :
« Oui. »
PDG :
« Pourquoi on a besoin de MOTS DE PASSE, nous, alors ? »
Belle leçon.
Le département financier a demandé si on ne pouvait pas attendre le week-end pour appliquer les correctifs, parce que les pannes affectent le chiffre d'affaires.
La cellule Sûreté a expliqué que l'alternative consistait à laisser des étrangers exécuter du code sur nos serveurs.
Le département financier a exigé un comparatif des coûts.
À 9h17, quelqu'un a proposé de mettre temporairement hors ligne les sites vulnérables.
Le marketing a refusé.
« Notre campagne est en direct. »
Donc, l'entreprise a officiellement décidé dans l'heure suivante que le maintien d'une landing page pour 20 % de réduction sur les inscriptions aux webinaires était plus important que la prévention d'une prise de contrôle à distance des serveurs.
Nous avons finalement patché tout ce que nous avons pu trouver.
Puis notre scanner a détecté un autre serveur PHP.
Nom d'hôte :
TEMP-PHP-2014
Durée de fonctionnement :
4 512 jours.
Personne ne sait ce qu'il fait.
Personne ne le possède.
Personne ne peut l'éteindre.
Mais à chaque fois qu'on bloque l'accès réseau, l'entrepôt arrête d'imprimer les étiquettes d'expédition.
La cellule Sûreté l'a classé comme infrastructure critique.
Il tourne sous PHP 5.4.
La vulnérabilité existe depuis plus longtemps que la moitié de nos employés.
Le correctif d'urgence a pris quatre heures.
Comprendre ce que PHP fait vraiment a pris onze heures.
Internet n'est pas tenu ensemble par du code.
Il est tenu ensemble par des serveurs que tout le monde a peur d'éteindre.
