Une grave vulnérabilité a été découverte dans PHP, une technologie web clé, obligeant les organisations à corriger rapidement leurs sites web. Les failles sont notées 9,2 sur l'échelle de gravité CVSSv4.0. Les développeurs de PHP affirment qu'ils publieront un correctif mercredi et exhortent les utilisateurs à « mettre à niveau dès que la version sera disponible », selon Reuters.
Le problème est suffisamment sérieux pour que les responsables de la cybersécurité de l'UE aient averti les entreprises incapables d'appliquer les correctifs qu'elles doivent se préparer à mettre temporairement hors ligne les sites utilisant PHP. L'Équipe d'intervention informatique d'urgence de l'UE (CERT-EU) décrit le risque comme une exécution de code à distance non authentifiée, ce qui signifie qu'un attaquant pourrait insérer du code et l'exécuter sur un serveur vulnérable. Le Centre australien de cybersécurité (ACSC) a publié des recommandations similaires, conseillant aux organisations d'identifier les serveurs PHP, d'appliquer les correctifs et de surveiller les activités malveillantes. L'ACSC n'avait connaissance d'aucune exploitation active, mais Dane Knecht, directeur technique de Cloudflare, a déclaré que des attaques apparaissaient. Cloudflare a mis à jour ses règles de pare-feu à titre provisoire.
PHP, abréviation de PHP: Hypertext Preprocessor ou Personal Home Page, est un langage de script utilisé dans le développement web et existe depuis des décennies. Des plateformes comme Drupal, Joomla, Magento et WordPress en dépendent fortement, si bien que PHP fait tourner une grande partie des systèmes qui alimentent le web.
Le risque est aggravé par l'IA, qui peut servir à trouver des vulnérabilités que des pirates peuvent exploiter. Les utilisateurs finaux peuvent faire peu de choses, hormis corriger leurs propres serveurs web PHP, car les navigateurs et les applications n'ont pas besoin de correctifs. Les internautes ne peuvent qu'espérer que les correctifs fonctionnent et que les interruptions soient brèves.
Source: AppleInsider · Résumé par HeadlinesBriefing