La Fondation PHP reconnaît un « échec structurel » ayant retardé une correction critique de sécurité

La Fondation PHP a reconnu qu’une indécision et un manque de ressources ont retardé la correction d’une faille de sécurité critique découverte pour la première fois en 2024, qualifiant cette réponse freinée d’« échec structurel ».

Des agences gouvernementales et autres organisations du monde entier ont mis leurs sites web hors ligne mercredi par précaution, tandis que PHP publiait des correctifs d’urgence pour deux vulnérabilités critiques liées. Ces failles permettent à des attaquants non authentifiés d’exécuter du code sur les serveurs concernés sans s’authentifier.

PHP est un langage de programmation largement utilisé pour alimenter des sites web et des applications web, y compris des systèmes de gestion de contenu.

Dans un billet de blog publié après la diffusion du correctif, la fondation a décrit comment ses développeurs avaient détecté pour la première fois des signes de cette vulnérabilité en 2024, mais avaient eu du mal à concevoir une solution sans perturber l’important écosystème de logiciels développés avec PHP.

« Associé à l’absence d’un vecteur connu d’exécution de code à distance et au petit nombre de développeurs principaux possédant une connaissance approfondie du moteur — tous très sollicités —, ce processus décisionnel a entraîné des blocages répétés et des redémarrages prolongés des travaux de correction », a déclaré la fondation.

« Nous ne le nierons pas : ce retard constitue un échec structurel, causé à la fois par le processus décisionnel de l’équipe sécurité et par son manque de ressources. »

La fondation a été à nouveau alertée sur cette vulnérabilité le 11 août, après que la société de cybersécurité Calif et OpenAI eurent indépendamment signalé le même problème sous-jacent ; Calif ayant notamment démontré une exécution de code à distance inconditionnelle, ce qui en fit une priorité absolue en matière de sécurité.

Des sites web coupés en pleine alerte de sécurité PHP

La perturbation a touché le monde entier, les développeurs déconnectant leurs sites web en prévision de l’installation des correctifs d’urgence.

Les Pays-Bas ont désactivé leur service d’identité numérique, et le Centre national néerlandais de cybersécurité a également mis hors ligne son site web.

Le prestataire informatique public finlandais Valtori a déconnecté les services web gouvernementaux, tandis que le ministère français de l’Intérieur a temporairement retiré les sites des préfectures. Le prestataire informatique fédéral allemand ITZBund a également désactivé plusieurs sites, selon Reuters.

En Australie, la Direction des signaux australienne (ASD) a reconnu que son site cyber.gov.au figurait parmi les sites gouvernementaux affectés par ce problème PHP.

La Première ministre japonaise Sanae Takaichi a appelé sur X les exploitants de sites web à appliquer le correctif dans les meilleurs délais. Dans un message, elle a précisé que la suspension temporaire des fonctions du site pouvait réduire les risques si l’application immédiate du correctif n’était pas possible.

La Wikimedia Foundation, qui gère Wikipédia, a mis hors ligne certaines de ses infrastructures de soutien à titre préventif, notamment Toolforge et Cloud VPS — hébergeant des outils et projets utilisés par des développeurs bénévoles —, entraînant l’indisponibilité partielle de Wikipédia mercredi.

SlowMist, société spécialisée dans la sécurité blockchain, a indiqué que son service MistEye avait analysé l’usage de PHP dans le secteur crypto, exhortant les plateformes d’échange, DeFi et fournisseurs de portefeuilles à évaluer leur exposition et à mettre à jour leurs systèmes. Sur 1 488 domaines examinés, 793 présentaient des empreintes directes de PHP.

Intersect, organisation membre soutenant le développement et la gouvernance de la blockchain Cardano, a annoncé avoir temporairement désactivé sa zone membres pendant son évaluation des risques potentiels. Cette page reste indisponible au moment de la rédaction.

Jeff Lunglhofer, directeur de la sécurité de Coinbase, a déclaré que l’entreprise n’avait trouvé aucune preuve d’instances PHP exposées.

« Dès que nous apprenons l’existence de vulnérabilités de ce type, nous procédons systématiquement à un audit complet afin de garantir un niveau de sécurité maximal. Nous collaborons également avec nos fournisseurs tiers pour renforcer cette assurance. »

La société d’infrastructure pour actifs numériques BitGo a également indiqué que sa plateforme n’était pas affectée par cette vulnérabilité PHP.

Par ailleurs, Changpeng Zhao, co-fondateur de Binance, a mis en garde mercredi les internautes contre les risques liés aux sites web au cours des prochains jours, certains administrateurs pouvant ne pas avoir appliqué les correctifs de sécurité récents.

OpenAI a publié une compétence Codex permettant aux exploitants de sites web de détecter les versions vulnérables de PHP et d’identifier les mises à jour appropriées, accessible via GitHub.

L’équipe de sécurité PHP a précisé qu’aucune exploitation fonctionnelle n’avait été identifiée au moment de sa divulgation publique.

Magazine : 5 alternatives à Ledger pour stocker votre Bitcoin