Le 2 novembre 1988, Internet comptait environ 60 000 ordinateurs connectés dans le monde entier — à peine plus que ce que fait tourner un seul immeuble de bureaux aujourd’hui. Cette nuit-là, sans que personne ne l’ait prévu, environ 10 % de tout ce réseau a cessé de fonctionner. Ce n’était ni une panne matérielle ni une coupure de courant. C’était un programme de moins de 100 lignes, écrit par un étudiant en doctorat qui voulait simplement mesurer combien de machines étaient réellement connectées.
Une expérience, pas une attaque
Robert Tappan Morris avait 23 ans et étudiait à Cornell lorsqu’il a écrit ce que l’on appelle aujourd’hui le “ver Morris”. Son intention, comme il l’expliquera plus tard, n’était pas destructrice : il voulait un programme capable de se copier lui-même d’ordinateur en ordinateur à travers le réseau, sans rien endommager, uniquement pour estimer la taille réelle d’Internet.
Pour se propager, le programme exploitait trois failles déjà connues à l’époque :
- Un mode de débogage oublié, resté actif dans
sendmail, le programme gérant le courrier électronique sur la plupart des serveurs Unix. - Un dépassement de tampon dans la commande
finger, permettant d’exécuter du code arbitraire en envoyant une entrée plus longue que prévu. - Des mots de passe faibles ou réutilisés, que le ver testait par force brute contre une courte liste des plus courants.
Aucune de ces trois failles n’était secrète. Les administrateurs système les connaissaient. Personne ne s’attendait simplement à ce que quelqu’un prenne la peine de les enchaîner toutes les trois, à cette échelle.
L’erreur qui a tout transformé en désastre
Voici la partie que presque personne ne retient : Morris avait bel et bien cherché à éviter le chaos. Le ver vérifiait si une machine était déjà infectée avant de tenter de la réinfecter, pour ne pas la saturer de copies redondantes de lui-même.
Le problème, c’est que Morris craignait que des administrateurs ne fassent “mentir” leurs systèmes en prétendant être déjà infectés, comme astuce pour se débarrasser du ver. Il a donc ajouté une règle : même si une machine affirmait être déjà infectée, le programme se réinstallait quand même une fois sur sept, “au cas où”.
C’est cette seule décision — pensée comme une mesure de sécurité — qui a tout fait s’effondrer. Sur des réseaux comptant de nombreuses machines interconnectées, un même ordinateur pouvait recevoir le ver encore et encore, depuis des dizaines de voisins différents. Chaque réinfection lançait un nouveau processus, consommant davantage de mémoire et de processeur, jusqu’à ce que les ordinateurs cessent tout simplement de répondre. Ce n’était pas une attaque par déni de service intentionnelle : c’était une fuite de ressources causée par une mesure de sécurité mal calibrée.
Ce qui s’est passé ensuite
Les dégâts ont été estimés, selon les sources, entre 100 000 et 10 millions de dollars en heures de travail perdues à nettoyer les systèmes d’universités, de laboratoires militaires et de centres de recherche à travers les États-Unis. Morris est devenu la première personne condamnée en vertu du tout nouveau Computer Fraud and Abuse Act américain. Et conséquence directe de l’incident, la DARPA a financé la création du tout premier CERT (Computer Emergency Response Team) de l’histoire, à l’université Carnegie Mellon — le modèle que suit encore aujourd’hui pratiquement toute équipe de réponse aux incidents dans le monde.
Et quel rapport avec votre WordPress ?
Plus qu’il n’y paraît. Trois choses n’ont pas changé en 35 ans :
- Les failles connues restent le vecteur d’attaque numéro un. Le ver Morris n’a utilisé aucune vulnérabilité secrète — il a exploité des failles publiées que personne n’avait corrigées à temps. Aujourd’hui, l’immense majorité des sites WordPress compromis le sont via des extensions obsolètes avec des CVE déjà publiées, pas par des techniques exotiques.
- L’échelle automatisée est la norme, pas l’exception. En 1988, il fallait écrire un programme à la main pour se propager sur des milliers de machines. Aujourd’hui, n’importe qui peut lancer un scanner qui sonde des millions de sites WordPress à la recherche de la même vulnérabilité, sans écrire une seule ligne de code.
- Même un logiciel bien intentionné peut faire des dégâts si personne ne le surveille. Morris ne voulait pas mettre Internet à genoux. Son propre code, livré à lui-même, lui a échappé à cause d’un détail qui semblait raisonnable sur le papier.
La leçon de 1988 reste la même en 2026 : la seule vraie défense contre les failles connues et le scan automatisé, c’est que quelque chose — ou quelqu’un — surveille en permanence, sans relâche, parce que l’autre camp ne se repose pas non plus. C’est exactement pour cela qu’existent aujourd’hui les pare-feux applicatifs, les systèmes de blocage automatique d’IP et la surveillance en temps réel : ils ne remplacent pas la vigilance humaine, ils la rendent possible à l’échelle qu’Internet exige depuis cette nuit de novembre 1988.