L'agence américaine de cybersécurité CISA a confirmé que des pirates exploitaient activement deux vulnérabilités de sécurité graves dans un logiciel Web PHP largement utilisé et a ordonné aux agences fédérales civiles au sein du gouvernement américain de corriger leurs systèmes dans les trois prochains jours.
Cette alerte de correctif d'urgence a été publiée moins d'une semaine après que les maintaineurs du langage de programmation web PHP aient lancé des correctifs pour ces deux vulnérabilités. Ces failles permettent aux pirates d'exploiter à distance les systèmes vulnérables via Internet sans mot de passe. Selon les rapports, le logiciel PHP est utilisé par environ 70 % des serveurs web, exposant un grand nombre de sites et d'applications à des risques. La gravité de ces vulnérabilités a poussé certains gouvernements et grandes entreprises à mettre hors ligne leurs sites pour effectuer les réparations.
Bien que ces vulnérabilités aient été classées comme « graves », ce qui signifie qu'elles pourraient causer des dommages importants en cas d'exploitation, les chercheurs en sécurité indiquent qu'il n'était pas facile, au départ, de développer des attaques exploitables — mais cela n'était pas impossible. La confirmation actuelle d'attaques réelles exerce une pression accrue sur diverses organisations pour qu'elles corrigent rapidement leurs systèmes et évitent ainsi les intrusions malveillantes, les interruptions de service et les fuites de données.
CISA n'a fourni aucun détail sur qui exploitait ces vulnérabilités dans son communiqué de lundi, mais peu de temps avant la publication de ce communiqué, des chercheurs en sécurité avaient indiqué avoir découvert des preuves d'exploitation des vulnérabilités PHP.
Ces exploitations, appelées PHP2Shell, tirent parti de défauts dans le logiciel qui n'avaient pas été détectés pendant des années. Elles ont été découvertes pour la première fois il y a deux ans, mais la fondation à but non lucratif chargée de la maintenance du logiciel a alors déclaré que les pirates n'avaient pas de méthode pratique pour les exploiter, et donc aucune correction n'a été appliquée. Ce n'est qu'au début de cette année que des chercheurs de l'entreprise de sécurité CaliF ont trouvé, avec l'aide d'un modèle d'IA, des moyens d'exploiter ces deux vulnérabilités longtemps dissimulées.
Ces deux vulnérabilités dans PHP ne représentent qu'une partie des nombreuses vulnérabilités non encore découvertes ou dont la priorité a été reportée pendant des années ; avec l'amélioration des capacités des modèles d'IA à détecter et exploiter des vulnérabilités, y compris en chaînant plusieurs défauts, ces failles présentent désormais un risque.
PHP est l'une des nombreuses technologies Web anciennes qui soutiennent le fonctionnement d'Internet et des technologies modernes, mais qui, depuis des années, souffrent d'un manque de ressources et de financement, rendant difficile pour des projets open source comme PHP de financer des audits de sécurité qui auraient pu détecter plus tôt les vulnérabilités.