21 octobre – Les sites Web du gouvernement à travers l’Europe se sont assombris mercredi alors que les opérateurs se sont précipités pour corriger deux vulnérabilités critiques dans PHP, l’un des langages de programmation les plus utilisés sur le Web.
Les développeurs de PHP ont déclaré mercredi qu’ils publieraient des correctifs pour deux vulnérabilités critiques, et les responsables de la cybersécurité de l’UE ont averti les organisations incapables d’appliquer les correctifs pour mettre hors ligne les sites Web affectés. Voici ce que vous devez savoir :
QU’EST-CE QUE PHP ?
PHP est un langage de programmation qui gère des sites Web. Ça marche dans les coulisses. Lorsqu’un utilisateur charge une page, le serveur exécutant PHP assemble le contenu et envoie la page terminée au navigateur.
Il est gratuit, open source et maintenu par des bénévoles. Les propriétaires de sites interagissent rarement avec lui directement.
PHP gère près de 70 % de tous les sites Web dont le langage de programmation peut être identifié, selon web technology tracker W3Techs. C’est le moteur derrière WordPress, le logiciel qui alimente environ 40 % de tous les sites Web tels que les blogs, les pages de petites entreprises, les portails gouvernementaux, les boutiques en ligne et les sites d’information.
QUELS SONT LES RISQUES DES DÉFAUTS ?
Les deux vulnérabilités sont notées 9,2 sur 10 sur l’échelle de gravité CVSS v4.0, un système de notation standard de l’industrie. CERT-EU, l’équipe d’intervention en cybersécurité de l’Union européenne, a déclaré que la notation signale l’exécution de code à distance non authentifiée, ce qui signifie qu’un attaquant peut exécuter des commandes sur un serveur vulnérable, sur Internet, sans mot de passe ni compte.
Une seule faille dans PHP ouvre la même porte sur des millions de serveurs à la fois. Celui qui exploite la faille contrôle le site Web. GoDaddy (GDDY.N), ouvre un nouvel onglet, un fournisseur d’hébergement Web, a déclaré que cela pourrait signifier des données volées, des pages défigurées ou une compromission du système complet. Cloudflare (NET.N), ouvre un nouvel onglet le chef l’agent de la technologie a déclaré que les premières attaques émergeaient.
La plupart des petits sites Web sont généralement gérés par des propriétaires sans personnel de sécurité, souvent sur un hébergement partagé où ils ne gèrent pas le serveur et ne savent peut-être pas qui met à jour PHP. Wordfence, un plugin de sécurité pour les sites WordPress, a averti que les mises à jour automatiques habituelles n’appliqueront pas ce correctif. Les directives de CERT-EU sont de mettre les sites concernés hors ligne plutôt que de les laisser exposés.
COMMENT A-T-IL ÉTÉ TROUVÉ ?
Les chercheurs de la société de sécurité Calif, travaillant avec OpenAI, ont signalé la première faille de PHP le 11 août après l’avoir trouvée avec le modèle GPT-5.6 Sol d’OpenAI, a déclaré la société. Wiz, une société de sécurité appartenant à Alphabet’s(GOOGL.O), ouvre un nouvel onglet Google, a trouvé les défauts indépendamment et en a signalé un deuxième le 24 août, également en utilisant des modèles d’IA.
Wiz a déclaré que les résultats “se classent parmi les vulnérabilités les plus graves découvertes dans PHP, et sans doute dans l’histoire du logiciel”. Les défauts sous-jacents étaient présents depuis des décennies, a déclaré l’entreprise, mais prouver qu’ils étaient exploitables nécessitait une chaîne d’étapes “à la limite de ce que les chercheurs humains pouvaient pratiquement réaliser”.
L’administration du président américain Donald Trump a déclaré qu’elle “suivait et coordonnait avec les agences fédérales et les principaux laboratoires SI pour accélérer la publication du correctif”, faisant référence au nom préféré de Trump pour l’intelligence artificielle. Il a présenté la découverte comme une preuve que le “super renseignement” américain renforce la sécurité nationale.
