Des vulnérabilités critiques dans PHP menacent une exploitation généralisée des sites web
Les sites web du monde entier sont aujourd'hui menacés, car deux vulnérabilités critiques dans le langage de programmation PHP ont été divulguées. Les experts mettent en garde contre une exploitation active et des interruptions potentielles généralisées. On estime que près de 70 % des sites web nécessitent des mises à jour logicielles pour corriger ces failles, qui pourraient permettre aux attaquants de prendre le contrôle total des serveurs affectés. Les vulnérabilités, suivies sous les noms CVE-2026-109618 et CVE-2026-109619, affectent tous les serveurs web exécutant PHP 5.4 ou une version ultérieure.
Détails
PHP a publié une mise à jour de sécurité d'urgence pour corriger les deux bugs critiques. Ces failles permettent aux attaquants d'exécuter du code arbitraire sur les serveurs vulnérables, entraînant des conditions potentielles de déni de service, une exécution de code à distance et une exposition des données. La société de sécurité Wiz, qui a joué un rôle déterminant dans la découverte des vulnérabilités, a déclaré que chaque version de PHP publiée au cours de la dernière décennie est affectée par au moins un de ces problèmes. Les bugs sont corrigés dans les versions de PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Contexte
Le langage de programmation PHP alimente un large éventail de systèmes de publication web populaires, notamment Drupal, Magento, Joomla et WordPress. Reuters a rapporté que des sites web gouvernementaux en Europe et ailleurs ont connu des interruptions suite à la divulgation. Cloudflare a confirmé avoir détecté des tentatives d'exploitation et mis en œuvre des règles de pare-feu d'applications web pour atténuer les attaques. OpenAI, impliqué dans la recherche sur les vulnérabilités, a décrit la situation comme "l'un des problèmes de sécurité les plus impactants de mémoire récente" en raison de l'utilisation omniprésente de PHP. Censys estime qu'environ 2,58 millions d'hôtes accessibles sur Internet et 54,9 millions de propriétés web exécutent PHP.
Impact
Les experts en sécurité de Wiz avertissent que ces vulnérabilités seront probablement massivement exploitées pour installer des portes dérobées basées sur le web, souvent appelées "web shells", accordant aux attaquants un contrôle à distance sur les sites compromis. Les chercheurs ont noté que les failles sous-jacentes existaient depuis des décennies, mais nécessitaient une chaîne d'étapes complexes pour être exploitées jusqu'à des avancées récentes, y compris les modèles d'IA, qui les ont rendues plus accessibles. La profonde intégration de PHP sur Internet signifie que les organisations seront probablement confrontées à des défis importants pour corriger ces vulnérabilités, une situation comparée à l'impact généralisé de la vulnérabilité Log4Shell en 2021. "Une vulnérabilité dans le cœur de PHP dépasse largement une seule application", ont souligné les chercheurs de Wiz, mettant en évidence sa présence dans les clouds, les fournisseurs d'hébergement et de nombreux serveurs indépendants.
Prochaines étapes
Le SANS Internet Storm Center surveille les principales plateformes logicielles qui publient des mises à jour pour corriger ces failles PHP, les systèmes d'exploitation comme Ubuntu expédiant déjà des paquets mis à jour. Des entreprises comme Calif ont également publié des analyses techniques détaillées sur le calendrier de découverte de ces bugs. Compte tenu de la gravité et de la nature généralisée des vulnérabilités, les efforts continus se concentreront sur le déploiement rapide des correctifs et la surveillance de toute exploitation ultérieure.
