Les principaux points à retenir de ZDNET
- La divulgation de bugs critiques dans PHP conduit à une ruée urgente vers des correctifs.
- Les cybercriminels exploiteront probablement ces vulnérabilités comme une arme.
- Les organisations doivent agir maintenant pour prévenir l’exploitation.
Une faille dans PHP a déclenché une ruée mondiale pour corriger les sites Web vulnérables, et maintenant, des instructions supplémentaires ont été publiées par le projet PHP pour empêcher « un vecteur improbable d’exécution de code à distance (RCE) » dans les attaques PHP2Shell.
Qu’est-ce que PHP2Shell ?
PHP2Shell fait référence à une paire de vulnérabilités PHP, CVE-2026-109618 et CVE-2026-109619, qui ont chacune obtenu des scores de gravité critique de 9,2 et ont un impact sur la plupart des builds PHP. Le projet PHP a publié mercredi des correctifs pour corriger ces bugs, et la nature critique de ces failles a provoqué une ruée mondiale pour appliquer les correctifs de PHP le plus rapidement possible.
Pourquoi cette précipitation ? Parce que PHP (acronyme récursif de Hypertext Preprocessor) est un langage de programmation à usage général qui constitue l’épine dorsale de nombreux sites Web et services auxquels nous accédons quotidiennement, des sites Web WordPress aux plateformes de commerce électronique.
Selon l’équipe de sécurité de Wiz, qui a découvert les vulnérabilités grâce à l’IA, PHP est présent sur 70 % des sites Web dans le monde.
Correctifs urgents et attaques rapides
“Ces vulnérabilités incluent la divulgation de la mémoire et l’exécution de code à distance non authentifié dans PHP lui-même, indépendamment de l’application exécutée dessus, ce qui expose chaque site Web concerné à un risque immédiat”, explique Wiz.
Armés de ces vulnérabilités et ciblant un système non corrigé, les attaquants pourraient exécuter du code sur les serveurs concernés ou lire la mémoire de processus sensibles, volant des données et infiltrant ainsi les réseaux d’entreprise.
Aussi : L’IA, un « multiplicateur de force » pour les acteurs malveillants peu qualifiés
Wiz poursuit en faisant valoir un point intéressant : si l’IA a contribué à la découverte de ces vulnérabilités, l’IA pourrait également être utilisée pour les exploiter. Développer une chaîne d’attaque et démontrer l’exploitabilité de ces bugs « nécessitait une chaîne d’étapes exceptionnellement complexe », selon les chercheurs, qui serait « à la limite de ce que les chercheurs humains pourraient pratiquement réaliser ». Cependant, les modèles d’IA de pointe « ont considérablement réduit cette barrière, transformant un défaut de longue date en exploit ».
Selon Amazon Threat Intelligence, des tentatives d’exploitation de P2P2Shell avaient déjà eu lieu quatre jours avant que les vulnérabilités ne soient rendues publiques. Les travaux de validation de principe ont commencé à apparaître quelques heures plus tard. Un acteur menaçant lié aux chaînes d’attaque P2P2Shell tente de déployer un botnet de type Mirai, et le PDG de Cloudflare, Matthew Prince, affirme que le réseau Cloudflare enregistre désormais « des millions » de tentatives d’exploitation.
Conseils supplémentaires
Dans un avis publié le 23 octobre, PHP Project a exhorté les organisations à procéder comme suit : définir session.upload_progress.enabled=0 jusqu’à la prochaine série de corrections de bugs programmées dans PHP. Bien qu’elle soit déjà répertoriée comme une atténuation dans la version du 21 octobre, maintenant que nous avons eu le temps d’étudier PHP2Shell plus en profondeur, l’application de cette atténuation peut protéger contre un autre vecteur d’exécution de code à distance (RCE).
Aussi : Meilleurs services VPN : testés par des experts
Étant donné que ce RCE, désormais enregistré sous le nom CVE-2026-115560, nécessite une configuration et un code d’application inhabituels, le vecteur d’attaque est considéré comme « peu probable » ; par conséquent, l’atténuation suffira jusqu’à ce qu’elle soit gérée par le projet PHP dans le cycle de publication régulier.
“Une application doit définir session.serialize_handler sur php_binary ou php_serialize dans sa configuration, puis la basculer vers php au moment de l’exécution avec ini_set() avant d’appeler session_start()”, a déclaré PHP Project dans son avis. “La progression du téléchargement de session doit également toujours être activée. Les applications qui ne modifient jamais le gestionnaire de sérialisation au moment de l’exécution peuvent conserver la fonctionnalité activée. “
Comment les organisations devraient agir
PHP Project exhorte les utilisateurs à agir immédiatement en mettant à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. S’il n’est pas possible d’appliquer le correctif immédiatement, les organisations peuvent mettre en œuvre les mesures d’atténuation incluses dans son avis.
La National Security Agency (NSA) a conseillé une « sensibilisation accrue » à PHP2Shell au cours des semaines à venir, affirmant que tous les correctifs publiés par les fournisseurs liés à PHP2Shell devraient être prioritaires. Les entreprises devraient également envisager d’appliquer des mesures d’atténuation, telles qu’une journalisation améliorée et le remplacement des packages PHP en fin de vie, le cas échéant.
Aussi : 7 paramètres de confidentialité que je modifie dès que possible sur chaque nouveau téléphone
“Tous les utilisateurs doivent immédiatement procéder à un inventaire, lorsque cela est possible, des services matériels et logiciels dépendants des versions PHP désormais vulnérables”, a ajouté l’agence. “La vigilance dans l’application des correctifs liés à ces systèmes est primordiale.”
S’adressant à ZDNET, Matthew Weier O’Phinney, chef de produit principal de Perforce Zend et OpenLogic, a déclaré que la plupart des logiciels open source et des distributions commerciales de logiciels LTS avaient des correctifs disponibles soit au moment de la publication coordonnée, soit dans les heures qui ont suivi, et si vous utilisez PHP, il est probable qu’un correctif soit disponible maintenant.
“En supposant que vous en utilisiez un, utiliser votre gestionnaire de packages système pour mettre à jour est un remède rapide”, a ajouté O’Phinney.
Voir la bio complète
