«Des millions d'équipements sont vulnérables» : CTO de Ledger

• Le dirigeant a souligné que les vulnérabilités critiques sont déjà activement exploitées dans l'écosystème.
• Des milliers de serveurs avec des versions obsolètes n'ont pas de solution technique et resteront exposés.

Le directeur technique (CTO) de Ledger, Charles Guillemet, a averti que l'état actuel de la sécurité informatique est « vraiment terrifiant », en raison de la conjonction de failles critiques dans les infrastructures fondamentales d'internet.

Selon le dirigeant, l'exploitation de ces failles est déjà active dans l'écosystème numérique, compromettant des millions d'équipements à l'échelle mondiale qui ne recevront pas de mises à jour à court terme et anticipant que la situation ne s'améliorera pas de sitôt.

L'alerte de Guillemet, partagée via ses réseaux sociaux ce 21 octobre 2026, se concentre sur trois fronts simultanés de vulnérabilité.

Le premier d'entre eux concerne deux failles critiques dans le langage de programmation PHP, classées avec un niveau de gravité de 9,2 sur 10, comme l'a rapporté aujourd'hui CriptoNoticias.

Guillemet a souligné que les tentatives d'exploitation ont commencé même avant que le correctif officiel ne soit publié, rappelant que il n'existe pas de correctif pour les anciennes versions de ce logiciel.

Le deuxième vecteur de risque concerne Node.js, où quatre failles de haute gravité permettant l'exécution arbitraire de code ont été signalées ce mois-ci.

Enfin, le CTO a signalé la découverte de huit certificats intermédiaires TLS dont les clés privées de 3 à 8 bits ont été compromises. Face à cette découverte, Guillemet a affirmé qu'il n'est plus possible de faire confiance pleinement à la norme TLS.

L'impact de ce scénario sur l'écosystème Bitcoin et les actifs numériques est direct. Bien que le consensus du protocole Bitcoin n'ait pas de dépendances à PHP et soit complètement immunisé contre ces rapports d'exécution à distance, l'infrastructure environnante qui facilite les opérations commerciales et de garde présente une vaste surface d'attaque.

Les interfaces publiques des maisons de change, les systèmes internes de portefeuilles, les plateformes de finances décentralisées (DeFi) et les interfaces de programmation d'applications (API) utilisées pour les paiements sont exposées au risque.

L'ampleur du problème autour de PHP réside dans la dépendance structurelle du logiciel hérité. Les vulnérabilités, identifiées comme CVE-2026-109618 et CVE-2026-109619, seront corrigées par la PHP Foundation aujourd'hui, mais la mise à jour est limitée aux éditions 8.2 à 8.5. Selon les données recueillies par le chercheur Jonathan Cran, 59 % des serveurs exposés sur internet fonctionnent avec des versions obsolètes --- antérieures à la version 8.1 --- qui ont atteint la fin de leur cycle de vie.

Cela laisse plus de 884 000 serveurs dans une position de vulnérabilité permanente. La répartition géographique de ce risque présente des foyers d'exposition très élevée ; en Argentine, par exemple, 88 % des équipements enregistrés ne disposeront pas d'un correctif attribué.

Le problème s'aggrave étant donné qu'une grande partie de cette infrastructure est hébergée sur des services partagés de fournisseurs massifs, permettant qu'une seule adresse compromise affecte des centaines de portails, forums historiques et scripts de commerce entre pairs (P2P) utilisant PHP simultanément.

Face à la confirmation de Guillemet sur l'absence de solutions techniques viables pour les anciennes machines, l'écosystème des cryptomonnaies fait face à une asymétrie structurelle. L'utilisation d'outils automatisés assistés par intelligence artificielle a considérablement réduit le coût opérationnel nécessaire pour rechercher et exploiter des failles de manière massive, dépassant la capacité de réponse des infrastructures obsolètes.

Pour atténuer cette fenêtre d'exposition permanente, les entreprises et les administrateurs qui ne peuvent pas migrer immédiatement vers des versions avec support officiel dépendront de mesures d'urgence. La déconnexion des points d'accès vulnérables, la restriction des accès exclusivement via des réseaux privés virtuels (VPN), la mise en œuvre de listes strictes d'adresses autorisées et la surveillance constante de la génération de fichiers anormaux se profilent comme les principaux mécanismes de survie viables pour maintenir l'intégrité des fonds et des données des utilisateurs.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.