Une mise à jour défectueuse de CrowdStrike a fait planter 8,5 millions de PC Windows dans la plus grande panne informatique de l'histoire

Le 19 juillet 2024, l'entreprise de cybersécurité CrowdStrike a déployé une mise à jour de configuration de routine pour son logiciel capteur Falcon, qui s'exécute en profondeur dans Windows au niveau du noyau sur les machines d'entreprise. La mise à jour modifiait un fichier — le fichier de canal 291, chargé du filtrage des tubes nommés — qui contenait un défaut provoquant une lecture de mémoire hors limites. Au lieu d'échouer proprement, le capteur a déclenché une erreur de page invalide qui a fait basculer Windows sur un écran bleu de la mort et dans une boucle de démarrage.

Parce que le capteur Falcon s'exécute avec des privilèges élevés sur tant de systèmes d'entreprise, la défaillance s'est propagée presque instantanément. Microsoft a ensuite estimé qu'environ 8,5 millions d'appareils Windows avaient été touchés — moins de un pour cent de toutes les machines Windows, mais une part énorme de celles qui font tourner les entreprises. Des compagnies aériennes ont cloué au sol des milliers de vols, des hôpitaux sont revenus au papier, et des banques, des radiodiffuseurs, des commerces et des services publics sont tombés en panne dans le monde entier. CrowdStrike comptait plus de 24 000 clients, dont environ 60 % des entreprises du Fortune 500.

CrowdStrike a annulé le fichier défectueux en une heure environ, et le PDG George Kurtz a confirmé qu'il s'agissait d'un accident, non d'une attaque. Mais les machines déjà plantées ne pouvaient pas télécharger le correctif automatiquement : le personnel informatique devait redémarrer chacune en mode sans échec et supprimer manuellement le mauvais fichier, une opération encore compliquée sur les machines utilisant le chiffrement de disque BitLocker. Le rétablissement complet a pris des jours. Les dommages financiers mondiaux ont été estimés à plusieurs milliards de dollars, ce qui en fait la plus grande panne de l'histoire de l'informatique.

Le fichier a été annulé en une heure, mais les machines plantées ont nécessité des correctifs manuels en mode sans échec, si bien que le rétablissement a pris des jours et que les pertes ont dépassé 5 milliards de dollars.

La mise à jour de contenu n'a pas été suffisamment validée avant d'être envoyée à toute la base installée en une seule fois, sans déploiement progressif ni pilote.

Le capteur s'exécute au niveau du noyau, si bien qu'un bug en son sein a fait planter tout le système d'exploitation au lieu d'être contenu.

Le logiciel de CrowdStrike ne donnait aux clients aucun moyen de retarder ou d'étaler les mises à jour de contenu, si bien que chaque machine a reçu immédiatement le mauvais fichier.

Le rétablissement exigeait une intervention manuelle machine par machine, si bien que la panne a perduré bien après l'existence du correctif.

Un logiciel qui s'exécute au niveau du noyau peut faire tomber la machine qu'il protège. Déployez d'abord sur un petit groupe pilote, validez les mises à jour de contenu comme du code, et faites en sorte qu'une mauvaise mise à jour échoue en sécurité — et non de façon fatale.

CrowdStrike s'est excusé, a indemnisé les clients touchés et a remanié sa façon de tester et de déployer les mises à jour de contenu, en ajoutant des anneaux pilotes et un contrôle client sur le calendrier de déploiement. L'incident a relancé le débat sur la fragilité de laisser un seul produit de sécurité au niveau du noyau s'exécuter sur les infrastructures critiques du monde, et sur la décision de Microsoft d'accorder à de tels logiciels un accès profond au noyau de Windows. Delta Air Lines, parmi les plus durement touchées, a signalé des centaines de millions de dollars de pertes. « La panne CrowdStrike » est devenue un raccourci pour désigner la façon dont une seule mauvaise mise à jour peut arrêter le monde.