Selon des informations, des pirates ont bénéficié d'une avance de quatre jours sur une faille PHP majeure, baptisée PHP2Shell. La National Security Agency (NSA) a averti que ces failles offrent souvent un accès direct au système de fichiers ou à la base de données d'un serveur. « Si une mise à jour immédiate n'est pas possible, il est recommandé aux organisations de mettre le système hors ligne jusqu'à ce que la faille soit entièrement corrigée », a déclaré la NSA.
Des chercheurs de deux groupes américains de cybersécurité, Calif et Wiz, ont découvert les vulnérabilités. Wiz, filiale d'Alphabet, estime que le langage de programmation touché alimente environ 70 % des sites web dans le monde. « Compte tenu de la gravité de ces failles et de l'usage très répandu de PHP, nous considérons qu'il s'agit de l'un des problèmes de sécurité les plus marquants de ces dernières années », a déclaré Open AI mercredi. « À notre connaissance, une IA de pointe a découvert ces vulnérabilités avant les attaquants. »
« Cela montre comment l'IA peut mettre au jour des failles de sécurité aux répercussions à l'échelle d'Internet, mais les mêmes capacités peuvent aussi aider les attaquants à développer rapidement des outils offensifs et des exploits », a ajouté le laboratoire d'IA. Open AI a travaillé avec PHP, Calif et Wiz pour vérifier les vulnérabilités et développer les correctifs. La Maison-Blanche a indiqué que les agences fédérales évaluaient les impacts potentiels de ces bogues sur les systèmes gouvernementaux et les infrastructures critiques.
La présence massive de PHP sur Internet tient largement au fait que WordPress, la plateforme de création de sites la plus utilisée, est principalement écrite en PHP et en dépend pour fonctionner. Le Centre national de cybersécurité britannique (NCSC) a indiqué que ces vulnérabilités pourraient permettre à un pirate de prendre le contrôle du serveur d'un site web sans mot de passe ni autres identifiants. « Le NCSC encourage les organisations britanniques à agir immédiatement », a-t-il déclaré.
Source: Ars Technica · Résumé par HeadlinesBriefing