Les autorit\u00e9s de cybers\u00e9curit\u00e9 de plusieurs pays lancent une alerte rare : les sites qui reposent sur le langage PHP doivent installer sans attendre un correctif de s\u00e9curit\u00e9, ou envisager de se mettre hors ligne le temps de s’en prot\u00e9ger. Deux failles critiques ont \u00e9t\u00e9 identifi\u00e9es dans ce langage, qui fait tourner une part consid\u00e9rable du web.<\/p>\n
La fondation qui soutient PHP pr\u00e9voit de publier ce mercredi apr\u00e8s-midi des versions corrig\u00e9es. Le Centre national de cybers\u00e9curit\u00e9 britannique (NCSC), ainsi que ses homologues de l’Union europ\u00e9enne et d’Australie, demandent d’appliquer ces correctifs d\u00e8s leur disponibilit\u00e9. Lorsqu’une mise \u00e0 jour imm\u00e9diate n’est pas possible, le NCSC recommande de couper le syst\u00e8me concern\u00e9 jusqu’\u00e0 ce qu’il soit enti\u00e8rement prot\u00e9g\u00e9.<\/p>\n
Aux Pays-Bas, l’agence nationale de cybers\u00e9curit\u00e9 a elle-m\u00eame retir\u00e9 son site du r\u00e9seau par pr\u00e9caution. Le site de l’Institut national de la sant\u00e9 publique et de l’environnement ainsi que celui de la Chambre basse du Parlement sont \u00e9galement devenus inaccessibles.<\/p>\n
Selon l’\u00e9quipe de r\u00e9ponse aux urgences informatiques des institutions europ\u00e9ennes (CERT-EU), les scores de gravit\u00e9 attribu\u00e9s aux deux failles indiquent un risque d’ex\u00e9cution de code \u00e0 distance sans authentification. Concr\u00e8tement, un pirate pourrait installer un logiciel malveillant sur un serveur ou provoquer l’arr\u00eat d’un site sans avoir besoin du moindre identifiant. Le directeur technique de Cloudflare affirme observer d\u00e9j\u00e0 les premi\u00e8res attaques et adapter ses protections au fur et \u00e0 mesure.<\/p>\n
La liste pr\u00e9cise des versions touch\u00e9es n’est pas encore connue. Le CERT-EU estime toutefois que toutes les versions depuis PHP 5, lanc\u00e9 en 2004, pourraient \u00eatre concern\u00e9es.<\/p>\n
PHP est un langage con\u00e7u pour le d\u00e9veloppement web, ex\u00e9cut\u00e9 sur les serveurs pour produire les pages que l’on consulte. Selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Huntress, il fait fonctionner WordPress, Drupal, Joomla et Magento, mais aussi des plateformes d’h\u00e9bergement mutualis\u00e9, des panneaux de contr\u00f4le et de nombreux logiciels qui ne mentionnent pas qu’ils en d\u00e9pendent.<\/p>\n
Les autorit\u00e9s rappellent donc que l’installation du correctif ne suffit pas : il faut ensuite surveiller en continu les mises \u00e0 jour des \u00e9diteurs tiers, y compris pour les \u00e9quipements et services qui embarquent PHP. Pour les administrateurs de sites, la consigne du jour est simple : v\u00e9rifier leur version, surveiller l’arriv\u00e9e des correctifs et les appliquer d\u00e8s leur publication.<\/p>\n
\u00c0 lire aussi :<\/strong> Citrix NetScaler : trois failles critiques d\u00e9j\u00e0 exploit\u00e9es, les correctifs sont disponibles<\/a> \u00b7 Cisco : une faille critique des passerelles e-mail exploit\u00e9e avant m\u00eame le correctif<\/a><\/p>\n <\/p>\n