Deux problèmes de sécurité internet graves sont apparus, mettant les administrateurs de sites web sur la sellette. Le premier concerne des certificats TLS avec un chiffrement extrêmement faible pouvant affecter les VPN et les appareils IoT. L'autre est une grave vulnérabilité du langage de programmation PHP affectant les systèmes CMS comme WordPress et Drupal. Les deux problèmes pourraient entraîner des attaques à grande échelle et nécessiter d'énormes tâches de nettoyage, avertissent les experts en sécurité.
La Fondation PHP a publié des correctifs de sécurité pour deux vulnérabilités critiques évaluées à 9,2 sur 10 à l'échelle de gravité. Un rapport montre une vidéo d'un outil appelé PHP2Shell exécutant du code sur des serveurs web, y compris les dernières versions de WordPress, MediaWiki, Symphony, Drupal et d'autres sites basés sur PHP. Le cabinet de sécurité Towr affirme que la vulnérabilité affecte chaque version depuis PHP 5 (2004) et au-delà, permettant potentiellement aux attaquants d'exécuter leur propre code sur un serveur.
Une entreprise basée en Inde appelée e Mudhra a signalé que huit de ses certificats CA intermédiaires ont été compromis. Les clés privées sont faibles, allant de trois à huit bits au lieu des habituelles 384 bits, permettant potentiellement aux attaquants de falsifier les identifiants pour les sites web et les applications. Mozilla, Google et Apple ont bloqué les certificats compromis, mais un utilitaire macOS pourrait continuer à faire confiance à ceux-ci. e Mudhra a révoqué les certificats et a accusé un script utilisé pour les générer.
Le plus grand risque actuellement est pour les VPN, en particulier là où les gouvernements tentent d'intercepter le trafic, et les appareils IoT. Filippo Valsorda a averti que ce sera un travail de nettoyage massif plus grand que Heartbleed. Les administrateurs web s'affairent à corriger les problèmes, certains sites web basés sur PHP pouvant potentiellement être brièvement indisponibles.
Source: Engadget · Résumé par HeadlinesBriefing