Les autorités de cybersécurité de plusieurs pays lancent une alerte rare : les sites qui reposent sur le langage PHP doivent installer sans attendre un correctif de sécurité, ou envisager de se mettre hors ligne le temps de s’en protéger. Deux failles critiques ont été identifiées dans ce langage, qui fait tourner une part considérable du web.
Des mises à jour attendues mercredi après-midi
La fondation qui soutient PHP prévoit de publier ce mercredi après-midi des versions corrigées. Le Centre national de cybersécurité britannique (NCSC), ainsi que ses homologues de l’Union européenne et d’Australie, demandent d’appliquer ces correctifs dès leur disponibilité. Lorsqu’une mise à jour immédiate n’est pas possible, le NCSC recommande de couper le système concerné jusqu’à ce qu’il soit entièrement protégé.
Aux Pays-Bas, l’agence nationale de cybersécurité a elle-même retiré son site du réseau par précaution. Le site de l’Institut national de la santé publique et de l’environnement ainsi que celui de la Chambre basse du Parlement sont également devenus inaccessibles.
Un risque d’exécution de code à distance
Selon l’équipe de réponse aux urgences informatiques des institutions européennes (CERT-EU), les scores de gravité attribués aux deux failles indiquent un risque d’exécution de code à distance sans authentification. Concrètement, un pirate pourrait installer un logiciel malveillant sur un serveur ou provoquer l’arrêt d’un site sans avoir besoin du moindre identifiant. Le directeur technique de Cloudflare affirme observer déjà les premières attaques et adapter ses protections au fur et à mesure.
La liste précise des versions touchées n’est pas encore connue. Le CERT-EU estime toutefois que toutes les versions depuis PHP 5, lancé en 2004, pourraient être concernées.
Pourquoi cela concerne autant de monde
PHP est un langage conçu pour le développement web, exécuté sur les serveurs pour produire les pages que l’on consulte. Selon la société de sécurité Huntress, il fait fonctionner WordPress, Drupal, Joomla et Magento, mais aussi des plateformes d’hébergement mutualisé, des panneaux de contrôle et de nombreux logiciels qui ne mentionnent pas qu’ils en dépendent.
Les autorités rappellent donc que l’installation du correctif ne suffit pas : il faut ensuite surveiller en continu les mises à jour des éditeurs tiers, y compris pour les équipements et services qui embarquent PHP. Pour les administrateurs de sites, la consigne du jour est simple : vérifier leur version, surveiller l’arrivée des correctifs et les appliquer dès leur publication.
À lire aussi : Citrix NetScaler : trois failles critiques déjà exploitées, les correctifs sont disponibles · Cisco : une faille critique des passerelles e-mail exploitée avant même le correctif
