Le projet PHP a corrigé deux failles critiques mercredi. Elles permettent, selon lui, d’exécuter du code sur un serveur sans mot de passe. Seule la mise à jour protège complètement, selon le Projet.
Mercredi 21 octobre, des hébergeurs ont écrit à leurs clients. Le message est le même partout: mettez à jour PHP, le plus vite possible. Maghreb Émergent en a reçu un pour ses propres serveurs.
PHP est le langage qui fait fonctionner une grande partie des sites web, dont WordPress. Le jour même, son équipe de sécurité a publié des correctifs pour deux failles jugées critiques, notées 9,2 sur 10. Elle avait prévenu la veille qu’une publication était imminente.
Ce que permettent ces failles
Les deux défauts sont liés à la manière dont PHP gère la mémoire lors du traitement d’une requête. Dans le pire des cas, un attaquant peut faire exécuter ses propres commandes sur un serveur, sans avoir besoin d’un compte ni d’un mot de passe. Les failles se trouvent dans PHP lui-même, pas dans le code d’un site. Un site bien conçu reste donc exposé s’il tourne sur une version non corrigée.
Presque tous les environnements qui servent des pages web sont concernés. Le projet signale un risque plus élevé avec Apache dans une configuration courante appelée mod_php.
Des tentatives d’attaque, pas d’intrusion confirmée
Pour sa part, Cloudflare a indiqué avoir déjà repéré des tentatives d’exploitation et avoir mis en place des règles de protection provisoires, rapporte le site The Hacker News. À ce stade, aucune intrusion réussie n’est confirmée. Jusqu’à présent, aucune intrusion n’a été signalée par les agences de cybersécurité.
Certains services ont tout de même été coupés par précaution. Le même site cite l’éditeur américain BambooHR et plusieurs sites publics néerlandais, d’après la radiotélévision NOS.
Ce que disent les hébergeurs
Le message reçu par la rédaction indique que l’hébergeur n’a pas accès aux serveurs privés de ses clients et ne peut donc pas les mettre à jour à leur place. Il demande de le faire dès que les correctifs pour le système utilisé seront disponibles. Ce message évoque des cas d’exploitation active. Les sources consultées parlent, elles, de tentatives.
