Selon Zonebourse Suisse, les développeurs du langage PHP ont publié un correctif pour deux failles critiques notées 9,2 sur l’échelle CVSS v4.0, susceptibles d’exposer les sites web à de graves cyberattaques.
Face à ces vulnérabilités, plusieurs agences de cybersécurité européennes, dont le CERT-EU, ont recommandé aux organisations incapables d’appliquer immédiatement ces correctifs de mettre temporairement hors ligne les sites concernés. Cette mesure a été prise par des administrations publiques aux Pays-Bas, en Finlande, ainsi que par le ministère français de l’Intérieur, qui a suspendu les sites des services administratifs des collectivités locales.
La société de cybersécurité Huntress souligne que PHP est omniprésent sur Internet, fonctionnant en arrière-plan sur des plateformes populaires comme WordPress, Drupal, Joomla ou Magento, ainsi que sur de nombreux hébergements mutualisés et logiciels divers.
Des attaques exploitant ces failles ont déjà été signalées. Cloudflare a indiqué mettre à jour ses règles de pare-feu en attendant que les correctifs soient appliqués, précisant qu’il s’agit d’une solution provisoire.
Les agences de cybersécurité américaines (NSA), australiennes (ACSC), japonaises et britanniques ont également exhorté les utilisateurs à appliquer immédiatement les mises à jour ou à déconnecter leurs sites jusqu’à correction.
GoDaddy a averti que ces vulnérabilités pourraient permettre l’exécution de code malveillant à distance, entraînant vol de données, défiguration ou compromission totale des serveurs.
Le CERT-EU et l’ACSC indiquent que toutes les versions de PHP à partir de la version 5 pourraient être concernées, sans que PHP ait précisé précisément les versions vulnérables.
Image d’illustration générée par IA (représentation non contractuelle).
