Apache est l'un des serveurs web les plus utilisés au monde. Votre site web y tourne probablement aussi, même si vous ne vous en êtes jamais soucié. Le 12 novembre, Tweakers a signalé qu'Apache a corrigé une grave faille dans le module HTTP/2. À cause de cette erreur, des attaquants pouvaient exécuter du code à distance sur un serveur. Les découvreurs estiment que 64 % de tous les environnements cloud seraient vulnérables.
Cela ressemble à un problème pour les grandes entreprises, mais il concerne aussi le petit entrepreneur. Voici ce qui se passe et ce qu'il faut en faire.
Que se passe-t-il ?
HTTP/2 est la façon dont votre navigateur et un serveur web communiquent plus rapidement entre eux. Presque chaque site web moderne l'utilise, souvent sans que le propriétaire le sache. Si une erreur se trouve dans cette partie, quelqu'un de l'extérieur peut donner des instructions au serveur sans se connecter. Dans le pire des cas, un attaquant prend le contrôle : il peut lire des fichiers, modifier un site ou utiliser le serveur pour envoyer du spam et attaquer d'autres sites.
La bonne nouvelle, c'est que l'erreur a été corrigée. La mauvaise nouvelle, c'est qu'une solution n'aide que si elle a bien été installée.
Qui doit agir ?
Cela dépend de l'endroit où se trouve votre site web :
- Hébergement web standard : l'hébergeur gère le serveur. Demandez par écrit si la mise à jour Apache a été appliquée. Un bon hébergeur peut le confirmer rapidement.
- Vps ou serveur propre : c'est alors vous (ou votre partenaire ICT) qui êtes responsable. Vérifiez quelle version d'Apache tourne et installez la mise à jour de sécurité.
- Site sur une plateforme moderne sans serveur propre, comme de nombreux sites Next.js : Apache ne joue généralement pas de rôle ici, mais demandez-le tout de même à celui qui gère l'hébergement.
- Boutique en ligne avec des données clients : une raison de plus de poser la question dès maintenant, car c'est là que se trouvent les données que les criminels veulent.
Pourquoi cela tourne souvent mal dans les PME
Dans une grande entreprise, une équipe surveille les mises à jour. Chez un petit entrepreneur, ce n'est souvent la tâche de personne. Le site a été construit un jour, le serveur tourne, et personne ne le surveille plus jusqu'à ce que quelque chose tourne mal. Ce sont justement ces serveurs oubliés qui sont trouvés en premier lors d'une faille connue, car les attaquants parcourent automatiquement tout internet.
Vous n'avez pas besoin de devenir expert en technique. Vous devez par contre savoir qui fait les mises à jour et à quelle vitesse. Trois questions aident : qui gère le serveur, à quelle fréquence il est mis à jour, et que se passe-t-il quand une faille grave est signalée ?
Que fait sio-IT à ce sujet ?
Pour l'aide ICT et la sécurité, nous examinons à Waalwijk et ses environs, de Tilburg à tout le Brabant, exactement ce genre de points : quel serveur fait tourner votre site, est-il à jour, et des sauvegardes sont-elles prêtes si quelque chose tourne mal ? Pour les nouveaux sites et webshops, nous veillons à ce que la gestion et les mises à jour soient clairement définies dès le départ, pour que vous n'ayez pas à deviner.
Vous voulez savoir si votre site est touché par cette faille ? Contactez-nous, nous vérifierons pour vous et nous vous dirons franchement ce qui doit ou ne doit pas être fait.
