L’équipe européenne de gestion des urgences cyber a conseillé aux sites web ne pouvant pas corriger deux failles critiques de PHP d’envisager une mise hors ligne. Les deux vulnérabilités permettraient à des attaquants de prendre le contrôle de serveurs web sans connexion préalable.
PHP constitue le socle d’une grande partie du web, des blogs WordPress aux boutiques en ligne Magento. Cependant, les détails des deux failles ont fuité en ligne avant que des correctifs ne soient prêts.
Les attaquants ont pris de l’avance
Selon Huntress, la fuite est apparue le 20 octobre, avant la divulgation prévue. L’équipe sécurité de la PHP Foundation a alors programmé la diffusion pour le 21 octobre à 14h00 UTC.
D’après Huntress, l’entreprise de cybersécurité watchTowr a depuis reproduit l’un des deux bugs. De son côté, Huntress a précisé ne pas avoir observé d’exploitation sur les systèmes de ses clients.
En revanche, Dane Knecht, directeur technique de Cloudflare, a indiqué que les attaques avaient déjà commencé. Son entreprise a mis en place des règles de pare-feu contre les voies d’attaque connues pour tous ses clients, y compris les utilisateurs gratuits.
Nous observons l’apparition des premières attaques et adaptons les mesures d’atténuation au gré des nouveaux vecteurs. Il ne s’agit que d’une solution temporaire.
Knecht a partagé cet avertissement dans un post sur X.
L’équipe d’intervention d’urgence informatique de l’Union européenne (CERT-EU) ainsi que l’agence australienne de cybersécurité ont toutes deux averti que les vulnérabilités PHP pouvaient affecter toutes les versions de PHP à partir de la 5, a rapporté Reuters.
Huntress a également signalé que certains chercheurs prévoient des correctifs uniquement pour les versions 8 de PHP encore supportées, ce qui pourrait laisser les sites utilisant des versions plus anciennes et non prises en charge sans patch.
L’alerte intervient quelques semaines après que plus de 100 entreprises ont mis en garde contre la multiplication des cyberattaques par IA dans les mois à venir.
Ce que signifient les failles PHP pour les propriétaires de sites web
D’après les données de W3Techs, PHP fonctionne sur environ 69 % des sites web dont le langage côté serveur est connu. WordPress, à lui seul, propulse environ 40 % de tous les sites web.
Le CERT-EU a précisé que le score de gravité de 9,2 indique une exécution de code à distance non authentifiée. Concrètement, un tiers pourrait exécuter du code malveillant sur un serveur sans aucune identification.
L’hébergeur GoDaddy a alerté qu’un attaquant pouvait voler des données, défigurer des sites web ou prendre le contrôle total d’un système. Les données volées ont une réelle valeur, comme l’ont démontré les piratages de banques sud-coréennes.
Le plugin de sécurité Wordfence a noté que chaque site WordPress repose sur un serveur PHP. Néanmoins, les mises à jour automatiques de WordPress ne corrigeront pas ces vulnérabilités PHP. Les propriétaires de sites doivent donc identifier qui gère PHP pour leur site.
Les attaques contre l’infrastructure du quotidien continuent de se multiplier, comme l’a montré le hack des frigos de supermarché en France en octobre. Ces failles PHP déplacent la menace vers la couche logicielle sous-jacente du web, où une simple mise à jour serveur oubliée peut suffire à ouvrir la porte aux attaquants.
