PHP2Shell : des failles critiques dans PHP imposent des mises à jour d'urgence
L'agence américaine CISA recommande de déconnecter du réseau les serveurs PHP qui ne peuvent pas être corrigés immédiatement. Une première tentative d'attaque aurait eu lieu dès quatre jours avant la divulgation.
Par Marcel
Traduit automatiquement de l’allemand · peut contenir des erreurs · Lire l’original
En raison de deux failles de sécurité critiques dans le langage de script PHP, l'équipe de PHP a publié des mises à jour d'urgence le mercredi 21 octobre. L'agence américaine de cybersécurité CISA a exhorté les exploitants à mettre immédiatement leurs systèmes à jour ou à les déconnecter du réseau.
Selon la CISA, les failles baptisées PHP2Shell, référencées CVE-2026-109618 et CVE-2026-109619, permettent l'exécution de code à distance sans authentification. Des attaquants peuvent donc exécuter leur propre code sur un serveur sans s'être connectés. Ces vulnérabilités affichent un score CVSS de 9,2 sur une échelle allant jusqu'à 10.
Les failles sont corrigées dans les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Quiconque utilise PHP 8.1 ou une version antérieure, ou ne peut pas procéder immédiatement à la mise à jour, doit, selon la recommandation de la CISA, déconnecter ses systèmes du réseau. Le Centre national de cybersécurité britannique (NCSC) émet la même recommandation pour les systèmes qui ne peuvent pas être corrigés immédiatement.
Une tentative d'attaque avant la divulgation
Selon Amazon Threat Intelligence, la division sécurité du groupe américain, une tentative d'exploitation des failles a déjà eu lieu le samedi 17 octobre, soit quatre jours avant leur divulgation.
L'équipementier réseau Cisco a indiqué, dans un bulletin de sécurité sur ses propres produits, que son équipe de sécurité n'avait connaissance d'aucune exploitation malveillante. Il n'existerait pas de solution de contournement.
D'après le journal New York Times, des exploitants ont mis de nombreux sites hors ligne par précaution. Un serveur non corrigé aurait pu être entièrement pris en main.
Environ 69 % des sites web reposent sur PHP
La portée de ces failles tient à la large diffusion du langage. D'après les données du service d'analyse W3Techs du 22 octobre, PHP est utilisé par 69,3 % de l'ensemble des sites dont le langage côté serveur est identifiable. À lui seul, le système de gestion de contenu WordPress, basé sur PHP, représente ainsi environ 40 % de tous les sites web dans le monde.
PHP s'exécute sur le serveur, où il génère du HTML ou d'autres contenus envoyés au navigateur. Le code source lui-même reste sur le serveur. Parmi les grands utilisateurs figurent Wikipédia avec son logiciel MediaWiki, les systèmes Drupal, Joomla et Magento, ainsi que la plateforme de vente Etsy.
Le langage est né d'un outil personnel. Le programmeur dano-canadien Rasmus Lerdorf a écrit en 1994/1995 des scripts pour compter les visites sur sa page personnelle et traiter des formulaires. En juin 1995, il a publié le code sous le nom de « Personal Home Page Tools ». Aujourd'hui, PHP signifie « PHP: Hypertext Preprocessor ».
PHP n'a jamais été conçu comme un langage de programmation à part entière. Lerdorf a déclaré plus tard avoir simplement ajouté, à chaque fois, la prochaine étape pratique. Facile à apprendre et fonctionnant sur des hébergements web bon marché, le langage est devenu la norme pour les sites web dynamiques.
De nombreux sites fonctionnent avec d'anciennes versions de PHP
Selon W3Techs, environ 65 % des sites PHP utilisent la version 8, 27 % encore PHP 7 et près de 8 % PHP 5. Les installations obsolètes sous PHP 7 et antérieur restent un risque pour la sécurité.
D'après la PHP Foundation, PHP 8.5 et 8.4 sont actuellement activement maintenus, tandis que PHP 8.3 et 8.2 ne reçoivent plus que des mises à jour de sécurité. Les versions plus anciennes ne reçoivent plus de mises à jour officielles. Le support de PHP 8.2 prend fin fin 2026, celui de PHP 8.5 fin 2029. La prochaine version, PHP 8.6, est prévue pour novembre.