La PHP Foundation a reconnu que des problèmes de prise de décision et des ressources limitées avaient retardé un correctif de sécurité de PHP pour une faille détectée pour la première fois en 2024. Alors que des correctifs d’urgence pour deux vulnérabilités critiques connexes ont été publiés mercredi, des organismes publics et d’autres organisations ont mis leurs sites web hors ligne par précaution.

À retenir

  • La fondation a qualifié cette réponse tardive de défaillance structurelle impliquant son processus de sécurité et ses ressources.
  • Ces vulnérabilités pourraient permettre à des attaquants non authentifiés d’exécuter du code sur les serveurs concernés.
  • Des organisations du secteur des cryptomonnaies ont évalué leur exposition, tandis que Coinbase et BitGo ont indiqué qu’aucun de leurs systèmes n’était concerné.

Sommaire

Le correctif de sécurité de PHP bloqué par des questions de compatibilité et de personnel

Le récit de la fondation met l’accent sur la façon dont un problème technique connu est resté sans solution pendant des mois. Des développeurs ont repéré des signes de la vulnérabilité en 2024, mais ont eu du mal à trouver un correctif qui ne perturberait pas le vaste écosystème logiciel reposant sur PHP, un langage largement utilisé pour les sites web et les applications web.

À ce stade, les développeurs n’avaient pas établi de méthode permettant l’exécution de code à distance. Le petit groupe disposant des connaissances nécessaires sur le moteur de PHP devait également assumer d’autres responsabilités, ce qui a entraîné des interruptions et des reprises répétées des travaux sur le correctif, selon la fondation.

Elle a décrit ce retard comme une « défaillance structurelle » due à la fois au processus décisionnel de l’équipe de sécurité et à l’insuffisance des ressources.

Le problème est devenu une priorité de sécurité majeure après que la société de sécurité Calif et OpenAI ont signalé indépendamment le même problème sous-jacent le 11 août. Calif a démontré la possibilité d’exécuter du code à distance sans condition préalable.

Les fermetures préventives s’étendent aux services publics

La publication des correctifs d’urgence a provoqué des perturbations dans plusieurs pays, les opérateurs déconnectant des services le temps de préparer les mises à jour. Les Pays-Bas ont fermé leur service d’identité numérique, et leur Centre national pour la cybersécurité a également mis son propre site web hors ligne.

Le fournisseur informatique public finlandais Valtori a déconnecté les services web publics du gouvernement, tandis que le ministère français de l’Intérieur a temporairement mis hors service les sites web des préfectures. Le fournisseur informatique fédéral allemand ITZBund a également désactivé plusieurs sites web.

La Direction australienne des transmissions a indiqué que cyber.gov.au figurait parmi les sites web gouvernementaux touchés par le problème de PHP. La Première ministre japonaise Sanae Takaichi a exhorté les opérateurs à se préparer à installer rapidement les correctifs et a déclaré que la suspension temporaire des fonctionnalités des sites web pouvait réduire les risques lorsque des mises à jour immédiates n’étaient pas possibles.

La Wikimedia Foundation a également mis hors ligne des services auxiliaires, notamment Toolforge et Cloud VPS, affectant certaines fonctions de Wikipédia mercredi.

Les entreprises du secteur des cryptomonnaies évaluent leur exposition potentielle

La société de sécurité blockchain SlowMist a indiqué que son service MistEye avait détecté des empreintes PHP directes sur 793 des 1 488 domaines du secteur des cryptomonnaies évalués. Elle a exhorté les plateformes d’échange, les plateformes DeFi et les fournisseurs de portefeuilles à examiner leur exposition et à effectuer une mise à niveau. Ces résultats ont révélé l’utilisation de PHP, sans confirmer que ces domaines étaient vulnérables.

Intersect, l’organisation de membres qui soutient le développement et la gouvernance de Cardano, a temporairement fermé son espace réservé aux membres pendant qu’elle évaluait une exposition potentielle.

Jeff Lunglhofer, directeur de la sécurité de Coinbase, a déclaré que l’entreprise n’avait trouvé aucun indice de la présence d’instances PHP exposées et qu’elle vérifiait également la situation auprès de fournisseurs tiers. BitGo a indiqué séparément que sa plateforme n’était pas affectée.

Le statut des exploits reste distinct du risque démontré

Malgré le risque démontré d’exécution de code à distance, l’équipe de sécurité de PHP a déclaré n’avoir identifié aucun exploit fonctionnel au moment de la divulgation publique.

OpenAI a publié sur GitHub une compétence Codex destinée à aider les opérateurs à vérifier la présence de versions de PHP potentiellement vulnérables et à repérer les mises à jour applicables.

Conclusion

Les correctifs d’urgence répondent aux vulnérabilités immédiates, tandis que l’aveu de la fondation met en évidence les défaillances du processus qui en ont retardé la publication. Les fermetures signalées étaient des mesures de précaution et ne prouvent pas que les organisations concernées aient été compromises.

Lire d’autres actualités

Plus d’actualités FinanceVelix

Avertissement

Cet article de FinanceVelix fournit des informations générales et ne constitue pas un conseil personnalisé en matière de finances, d’investissement, de droit ou de fiscalité. Les cours du marché, les taux d’intérêt et la conjoncture économique peuvent évoluer ; les investissements comportent un risque de perte. Les faits reflètent les informations disponibles au moment de la publication et peuvent changer. Vérifiez de manière indépendante les informations importantes et consultez un professionnel qualifié si nécessaire. La mention d’un actif, d’une entreprise ou d’un service ne constitue pas une approbation.