Ondrej Surý était en vacances en Italie lorsque des vulnérabilités dans PHP, le langage de programmation utilisé par environ 70 % des sites web, ont créé un problème de sécurité urgent. Après la fuite d’un correctif destiné à deux failles découvertes par des entreprises de sécurité américaines, des attaquants auraient potentiellement pu modifier des sites web, voler des données de clients ou accéder à d’autres ordinateurs.

Surý, un ingénieur tchèque de 49 ans, a créé un paquet contenant le code corrigé afin que les développeurs puissent l’installer rapidement. Il a également adapté le correctif pour les anciennes versions de PHP, épargnant à des milliers de développeurs la nécessité d’effectuer eux-mêmes ce travail et contribuant à protéger des millions de sites web.

Bien qu’il ait reçu des remerciements publics et ait été décrit dans des articles de presse comme un héros anonyme, Surý considère ce travail comme une tâche ordinaire. Il est le principal mainteneur de PHP et d’autres paquets pour Debian, une fonction bénévole soutenue sur Patreon par 490 personnes, qui contribuent à hauteur de 1 539 euros par mois.

L’incident a souligné la dépendance de l’infrastructure d’internet à des logiciels open source maintenus par des particuliers. Courtney Miller, professeur à l’université George Washington, a déclaré que de nombreuses entreprises bénéficient de projets open source, même si ceux-ci sont souvent dirigés par une seule personne. Les mainteneurs peuvent finir par arrêter en raison d’un nouvel emploi, d’une perte d’intérêt ou d’un manque de temps.

La pression augmente alors que l’intelligence artificielle accélère la recherche de vulnérabilités. Michael Schwartz, directeur technique de l’entreprise de cybersécurité Censys, a déclaré que les outils d’IA pourraient entraîner la découverte d’un plus grand nombre de failles, tout en améliorant les capacités de défense. Il en résulte une compétition toujours plus rapide entre attaquants et défenseurs, que de petites équipes de bénévoles pourraient avoir du mal à gérer.

Daniel Stenberg, le développeur à l’origine de l’outil de transfert de données curl, a estimé que les entreprises qui bénéficient des logiciels open source devraient contribuer aux projets dont elles dépendent. Surý a également déclaré que les entreprises commerciales devraient être tenues responsables des produits qu’elles vendent et aider à financer les logiciels open source utilisés dans leurs systèmes.

Surý estime que le principal défi consiste à trouver de nouveaux mainteneurs. Il a déclaré que les logiciels libres semblaient autrefois nouveaux et passionnants, tandis qu’aujourd’hui la vitesse d’internet et le nombre de technologies disponibles peuvent submerger les plus jeunes. Selon lui, maintenir des logiciels essentiels exige la volonté de faire quelque chose pour les autres.

Des experts ont averti que des incidents similaires pourraient se reproduire. Jesús María González Barahona, professeur d’ingénierie télématique à l’université Rey Juan Carlos, a déclaré que des composants largement utilisés pourraient être exposés à des failles rapidement exploitables, susceptibles d’affecter des infrastructures critiques. Il a appelé à davantage d’investissements de la part des entreprises comme des institutions publiques.

Sources: El País Sociedad.