PHP expose une grave vulnérabilité de sécurité, les opérateurs de sites Web mondiaux entrent de toute urgence dans l'état de mise à jour des correctifs

Selon le bulletin de sécurité publié par l'équipe de développement PHP, le score de gravité des deux vulnérabilités est de 9,2 points, en utilisant le système de notation des vulnérabilités CVSS v4.0 avec un score complet de 10 points. L'équipe de développement demande à tous les utilisateurs de PHP de se préparer à l'avance et de mettre à niveau dès qu'un correctif est publié. L'annonce indiquait également que si les détails de la vulnérabilité étaient divulgués à l'avance, ou s'il s'avérait que la vulnérabilité était réellement exploitée, le correctif pourrait être publié à l'avance.

PHP est le langage de programmation côté serveur le plus utilisé dans l'infrastructure Internet. De nombreux sites Web en dépendent pour générer des pages Web, gérer les demandes des utilisateurs, se connecter à des bases de données et exécuter une logique métier en arrière-plan. Les systèmes de gestion de contenu grand public et les plateformes de commerce électronique, notamment WordPress, Drupal, Joomla et Magento, utilisent tous largement PHP. Par conséquent, l’impact potentiel de cette vulnérabilité ne se limite pas à un certain logiciel ou à un certain type de site Web, mais peut affecter un grand nombre de services Internet.

Parmi ceux-ci, l’étendue de l’influence de WordPress est particulièrement remarquable. Les données publiées par WordPress l’année dernière ont montré que la plateforme prend en charge plus de 40 % des sites Web dans le monde. La société de cybersécurité Wordfence souligne que les sites Web WordPress fonctionnent souvent sur des serveurs sur lesquels PHP est installé. Ainsi, tant qu'il existe des vulnérabilités non corrigées dans l'environnement PHP sous-jacent, les sites Web concernés peuvent être en danger.

Les chercheurs en sécurité estiment que le nombre d'hôtes Internet potentiellement concernés dépasse 1,3 million. Toutefois, ce chiffre constitue une estimation préliminaire des chercheurs et ne signifie pas que tous les hébergeurs concernés ont été compromis, ni que tous les sites Web seront nécessairement affectés dans la même mesure.

Les vulnérabilités d'exécution de code à distance sont dangereuses, car un attaquant pourrait envoyer des requêtes spécialement conçues à un serveur vulnérable sur le réseau pour exécuter du code malveillant sans avoir besoin d'un compte légitime ou d'informations d'identification de connexion. Une fois l’attaque réussie, les conséquences peuvent inclure la falsification des pages du site Web, le vol de données sur le serveur, l’implantation de programmes malveillants et même un contrôle plus poussé de l’ensemble du serveur. Pour les sites Web qui stockent des profils d’utilisateurs, des informations sur les clients ou des enregistrements de transactions, une violation pourrait également entraîner des violations de données plus larges et une interruption des activités.

L'organisme de recherche en sécurité watchTowr a déclaré que, sur la base des informations pertinentes actuellement divulguées, ces deux vulnérabilités pourraient affecter plusieurs versions à partir de PHP 5. Cependant, avant que PHP ne divulgue officiellement tous les détails de la vulnérabilité et la liste des versions affectées, la portée spécifique de l'impact doit encore être soumise aux annonces officielles.

Pour rendre les choses encore plus compliquées, les webmasters ne peuvent pas uniquement compter sur la fonctionnalité de mise à jour automatique de WordPress pour résoudre le problème. Wordfence rappelle spécifiquement que cette fois la vulnérabilité existe dans PHP lui-même, et non dans le programme principal de WordPress ou dans un plug-in. Ainsi, même si un site Web a automatiquement mis à jour le noyau et les plugins WordPress, l’environnement PHP sur lequel le serveur s’exécute réellement devra peut-être être mis à niveau séparément.

Pour les utilisateurs utilisant l'hébergement virtuel, PHP est généralement maintenu par le fournisseur d'hébergement ; si le site Web s'exécute sur un serveur privé virtuel autogéré, un serveur cloud ou un serveur indépendant, la responsabilité de la maintenance peut incomber au propriétaire du site Web ou à l'administrateur système. Les opérateurs de sites Web doivent confirmer la version PHP actuellement utilisée, qui gère le serveur et si le fournisseur de services déploiera une version de réparation en temps opportun.

L'équipe européenne d'intervention d'urgence en matière de cybersécurité (CERT-EU) et le Centre national de cybersécurité du Royaume-Uni ont tous deux émis des avertissements, recommandant aux organisations qui ne peuvent pas terminer la réparation immédiatement d'isoler temporairement les applications Internet du réseau public, ou de mettre directement hors ligne les sites Web concernés jusqu'à ce que la vulnérabilité soit efficacement atténuée. L'UE a spécifiquement souligné que la vulnérabilité pourrait permettre aux attaquants d'exécuter du code malveillant sans se connecter au système. Les organisations doivent donc identifier les actifs concernés à l'avance et se préparer aux mises à jour d'urgence.

Certaines institutions ont déjà pris des mesures préventives. L'équipe de développement du système d'exploitation mobile GrapheneOS a déclaré avoir temporairement fermé son forum de discussion pour éviter de prendre des risques inutiles, car un code d'attaque de validation de principe pour la vulnérabilité est en cours de développement. La développeur PHP Gina Peter Bagyard a également déclaré que l'installation de correctifs est la clé pour résoudre le problème ; s'il ne peut pas être réparé à temps, l'arrêt du serveur peut être un choix plus sûr.

Les chercheurs en cybersécurité ont également averti qu'après la publication du correctif, les attaquants pourraient rapidement analyser les différences de code avant et après le correctif, découvrir comment exploiter la vulnérabilité et lancer des attaques à grande échelle sur des serveurs qui n'ont pas été mis à jour. L'organisme de recherche en sécurité Sansec prédit que des attaques à grande échelle pourraient se produire dans les 15 minutes seulement après la publication du correctif. Cette prédiction ne signifie pas qu'une attaque se produira certainement dans ce délai, mais elle reflète les inquiétudes du secteur de la sécurité quant à l'expansion rapide des risques une fois la vulnérabilité rendue publique.

De son côté, Dane Knecht, directeur technologique de Cloudflare, a déclaré que la plateforme avait observé les premiers signes d'attaques ciblant les sites Web exécutant PHP. Cloudflare ajuste temporairement les règles de pare-feu pour fournir une protection supplémentaire jusqu'à ce qu'un correctif officiel soit publié. Il a toutefois souligné que ces mesures ne peuvent être utilisées que comme solution transitoire et ne peuvent remplacer les réparations formelles.

Le Centre australien de cybersécurité a déclaré qu'aucune activité d'exploitation confirmée liée à ces deux vulnérabilités n'avait été découverte à ce moment-là et a recommandé aux organisations de dresser dès que possible l'inventaire des systèmes exécutant PHP en interne, de préparer les correctifs à l'avance et de surveiller en permanence les applications pour déceler toute anomalie. Les différentes agences de sécurité ont des déclarations différentes sur les situations d'attaque, ce qui signifie que les informations sur les menaces évoluent encore rapidement et que les opérateurs de sites Web ne doivent pas supposer que leurs systèmes sont sûrs simplement parce que des attaques à grande échelle n'ont pas encore été confirmées.

Pour les propriétaires de sites Web ordinaires, la leçon la plus importante de cet incident est que la sécurité du site Web dépend non seulement de la mise à jour du système de gestion de contenu et des plug-ins, mais également de la maintenance en temps opportun de l'environnement d'exploitation sous-jacent du serveur. Même si un site Web met rarement à jour son contenu, tant que les services sont toujours fournis sur Internet, de graves vulnérabilités dans le logiciel sous-jacent peuvent devenir des points d'entrée pour des attaques.

PHP prévoit officiellement de publier une version réparée à 14h00 UTC le 21 octobre 2026, correspondant à 22h00, heure de Pékin. L'équipe de développement a déclaré qu'elle annoncerait à ce moment-là les détails de la vulnérabilité, les versions concernées et les informations sur les versions réparées. Les administrateurs de sites Web doivent confirmer dès que possible après la publication de la mise à jour officielle si le fournisseur de services ou leur propre serveur a terminé la réparation, et vérifier les journaux système et les activités anormales si nécessaire.

Alors que le patch PHP est sur le point d'être publié, un grand nombre de sites Web à travers le monde entreront en phase de maintenance d'urgence. Le risque de cet incident ne vient pas seulement de la vulnérabilité elle-même, mais aussi du grand nombre de serveurs d'anciennes versions sur Internet et du fait que les propriétaires de sites Web pourraient ne pas être en mesure de terminer les mises à jour à temps. Pour les systèmes critiques qui ne peuvent pas être réparés immédiatement et qui sont directement exposés à Internet, il peut être plus sûr de restreindre temporairement l'accès ou de les mettre hors ligne plutôt que de continuer à courir des risques.

En savoir plus :

https://www.php.net/index.php