La panne informatique mondiale du 19 juillet 2024 est causée par la mise à jour de Falcon Sensor, un logiciel développé par la société de cybersécurité américaine CrowdStrike. Cette mise à jour défectueuse provoque partout à travers le monde le plantage d'environ 8,5 millions d'ordinateurs et serveurs utilisant le système d'exploitation Microsoft Windows, causant d'importantes perturbations, essentiellement au sein des entreprises. Le cloud de Microsoft est aussi partiellement tombé en panne ce jour-là, mais un peu avant et donc sans rapport avec la mise à jour défectueuse.
Divers secteurs économiques sont affectés tels que les aéroports, les banques, les hôtels, les hôpitaux, la grande distribution, les marchés financiers, la restauration, des services de diffusion gouvernementaux comme les numéros d'appels d'urgence et des sites internet. L'erreur est découverte et corrigée le jour même par Microsoft et CrowdStrike, mais la panne logicielle a eu des répercussions toute la journée, affectant l'organisation des vols des lignes régulières, les paiements électroniques, les services d'urgences, etc.
CrowdStrike produit une suite de logiciels de sécurité (en) pour les entreprises, conçus pour protéger les ordinateurs contre les cyberattaques. Le produit Falcon Sensor installe des services qui ont accès au cœur du système d'exploitation sous Cloud afin d'analyser les flux d'informations et de prévenir les menaces (EDR). Des mises à jour sont régulièrement distribuées par CrowdStrike à ses clients et à leurs ordinateurs pour tenir compte de l'évolution des cyberattaques.
George Kurtz, directeur de CrowdStrike lors de l'incident, était auparavant directeur technique de McAfee en 2010 lorsque l'éditeur de logiciel a aussi connu une panne majeure.
Des incidents apparentés ont été constatés entre avril 2024 et juin 2024 après des mises à jour de Falcon Sensor sur les distributions Linux de Red Hat, Debian et Rocky où le module est installé au niveau du noyau. Les problèmes auraient révélé l'insuffisance du test de compatibilité pour ces systèmes d’exploitation en amont des mises à jour, bien que l'entreprise ait déclaré prendre en charge certains de ces systèmes.
Dans un système d'exploitation, les privilèges sont organisés en niveaux basés sur des anneaux de protection (ou communément nommés « rings » en anglais). L'anneau 0 représente l'espace noyau où les privilèges et les performances sont à leur maximum. Dans son architecture, Microsoft a simplifié les autres niveaux de privilèges de Windows depuis plusieurs années en conservant qu'un seul autre niveau : l'anneau 3, qui correspond à l'espace utilisateur. Ainsi, avec les usages, les pilotes informatiques dans l'espace noyau sont devenus beaucoup plus rares, excepté dans le domaine de la cybersécurité.
En effet, les antivirus et autres logiciels de sécurité surveillent généralement un certain nombre de processus et utilisent souvent un pilote en espace noyau pour obtenir les privilèges nécessaires à cette surveillance. Ce principe s'applique également aux solutions EDR, dont les services de CrowdStrike. La proximité du pilote avec le noyau lui confère des privilèges et des performances accrues, mais en cas de défaillance, c'est le noyau lui-même qui risque d'être affecté, entraînant potentiellement des instabilités du système.
Le 19 juillet, avant la mise à jour défectueuse, la plateforme cloud Azure de Microsoft subit un incident interne qui affecte certaines entreprises et bloque l'accès à leurs applications de stockage et à Microsoft 365 dans le centre des États-Unis. Les deux incidents ne sont pas directement liés et les problèmes engendrés s'additionnent pour les clients des entreprises touchées.
À 4 h 9 (UTC) les machines virtuelles Windows sur Azure commencent à redémarrer et à planter, et à 6 h 48 Google Compute Engine (en) signale également le problème. À 7 h 15, Google identifie que la mise à jour de CrowdStrike est en cause.
L'incident provoque l'apparition de l'écran bleu de la mort sur les machines physiques et virtuelles fonctionnant sous Windows, ce qui empêche l'accès aux applications qui s'y trouvent. En fonction des systèmes touchés, il y a eu un BSOD avec le QR code, ou un écran bleu de récupération indiquant que Windows n'a pas pu démarrer correctement. Le logiciel Falcon Sensor de CrowdStrike, qui possède un pilote en espace noyau, est un agent responsable des fonctionnalités de surveillance. La cybersécurité étant une problématique quotidienne et évolutive, il est alimenté régulièrement par des mises à jour de définitions. Ces fichiers affinent les capacités de détection des logiciels malveillants de l’agent par leurs empreintes numériques . L'entreprise américaine de cybersécurité CrowdStrike déclare, dans les heures qui suivent, qu'elle est à l'origine des dysfonctionnements et qu’il ne s’agit pas d’une cyberattaque. Une mise à jour auprès de ses clients de sa plateforme de cybersécurité CrowdStrike Falcon Sensor est identifiée comme étant la cause du problème. Cette mise à jour peut s'assimiler à celles des signatures virales pour un antivirus. L'entreprise pousse rapidement un correctif.
Dans la journée, des experts spéculent sur la cause de la panne en affirmant que l'agent de détection CrowdStrike récupère le dernier fichier de définition avec un problème de version, et cela entraîne un plantage de ce dernier et le noyau de Windows avec lui.
La panne de la plateforme cloud Azure de Microsoft est due à une configuration réseau défectueuse. Le cloud Microsoft n'utilise pas CrowdStrike, les utilisateurs peuvent l'installer sur leurs machines virtuelles.
Le produit cloud Microsoft 365 a été affecté car il tourne en partie sur la plateforme Azure. Les compagnies aériennes américaines ont été beaucoup plus touchées que les autres compagnies dans le monde. Ces compagnies l’utilisent pour gérer les plannings des vols et les réservations.
Le Centre national de cybersécurité britannique (en) observe un accroissement des tentatives d'hameçonnage en lien avec l'évènement, tandis que des logiciels malveillants déguisés en mise à jour de CrowdStrike sont signalés.
La panne touche uniquement les ordinateurs, serveurs et machines virtuelles sous Microsoft Windows équipés du logiciel Falcon Sensor et entraîne d'importantes perturbations à travers le monde.
À l'échelle internationale, la panne a affecté 8,5 millions de systèmes, soit moins de 1 % des ordinateurs Windows, mais de nombreux ordinateurs affectés assuraient des services essentiels à leur secteur. D'après Slate, c'est un léger aperçu de ce qui aurait pu se passer avec le passage informatique à l'an 2000.
L’entreprise Cirium, spécialisée en analyse des données de l’aviation, estime que 6 855 vols ont dû être annulés le 19 juillet, soit environ 6,2 % de ceux prévus ce jour-là.
Les experts juridiques doivent déterminer si la faute constitue directement ou indirectement une infraction au RGPD.