PHP publie des correctifs de sécurité après que les vulnérabilités PHP2Shell ont déclenché des millions de tentatives d’exploitation

PHP a publié des correctifs de sécurité le 21 octobre pour deux vulnérabilités critiques surnommées PHP2Shell, qui permettent de prendre le contrôle de serveurs sans autorisation et ont incité des gouvernements et des organisations à mettre des sites web hors ligne. Les failles touchent les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 de PHP, qui font fonctionner ensemble environ 70 % des sites web dont on connaît le langage côté serveur. Le PDG de Cloudflare, Matthew Prince, a signalé des millions de tentatives d’exploitation après la divulgation publique, tandis que le BSI allemand et le gouvernement japonais ont indiqué n’avoir confirmé aucune compromission réussie. La PHP Foundation a révélé avoir repéré les premiers signes de l’une des vulnérabilités en 2024, mais avoir retardé sa correction en raison de difficultés décisionnelles et de ressources limitées.

PHP publie des correctifs pour les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35

PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 mercredi, selon ses notes de version. L’organisation a déclaré : « Il n’existe aucune mesure d’atténuation complète ; la mise à jour est la seule option sûre. » Jeudi, PHP n’avait publié aucun correctif supplémentaire. PHP 8.1 et les versions antérieures ne bénéficient plus de versions officielles, bien que l’équipe de sécurité de PHP ait publié des correctifs pour les versions 7.4, 8.0 et 8.1 destinés aux utilisateurs qui compilent eux-mêmes le logiciel. Les sociétés d’hébergement, les services informatiques et les propriétaires de sites web doivent installer les correctifs manuellement, puis redémarrer le logiciel pour que les corrections prennent effet.

Cloudflare enregistre des millions de tentatives d’exploitation

Le PDG de Cloudflare, Matthew Prince, a indiqué que son réseau avait détecté des milliers de tentatives d’exploitation durant les 10 heures précédant l’annonce publique. Le nombre de tentatives a atteint des dizaines de milliers dans les 45 minutes suivant la divulgation, des centaines de milliers en moins de deux heures, puis des millions. Amazon a déclaré que ses serveurs-pièges avaient enregistré une tentative d’exploitation le 17 octobre, quatre jours avant la divulgation publique des vulnérabilités. Le CISO d’Amazon, CJ Moses, a écrit : « On ne sait toujours pas comment l’attaquant a obtenu des informations sur l’exploitation avant la divulgation », ajoutant que PHP2Shell est « désormais largement exploité dans des attaques réelles ».

L’Allemagne et le Japon ne signalent aucune compromission confirmée

Thomas Caspers, vice-président de l’agence fédérale allemande de cybersécurité BSI, a déclaré que l’agence avait observé des attaques, mais qu’aucune exploitation des failles n’avait abouti : « Il semble un peu plus compliqué que prévu de les exploiter. » Le secrétaire en chef du Cabinet japonais, Minoru Kihara, a également confirmé qu’aucune attaque exploitant les failles n’avait été vérifiée.

La PHP Foundation relève des défaillances dans le processus de sécurité en 2024

Dans un billet de blog publié mercredi, la PHP Foundation a déclaré que ses travaux sur la sécurité en 2024 avaient « révélé les premiers signes du problème OOM à l’origine de CVE-2026-109618 », en référence au bogue d’épuisement de la mémoire à l’origine de l’une des vulnérabilités. L’équipe a élaboré « plusieurs approches concurrentes » pour y remédier, mais a « eu du mal à choisir entre elles et craint les conséquences d’un mauvais choix », selon la fondation. Celle-ci a écrit : « Nous ne prétendrons pas le contraire : ce retard est une défaillance structurelle, causée à la fois par le processus décisionnel de l’équipe de sécurité et par son manque de ressources. » L’équipe de sécurité, qui exigeait auparavant un consensus, prendra désormais ses décisions à la majorité.

Des organisations mettent des sites web hors ligne après la divulgation

Le Centre national de cybersécurité du Royaume-Uni a conseillé aux organisations d’envisager de « mettre le système hors ligne jusqu’à ce qu’il puisse être entièrement protégé ». Parmi les sites mis hors ligne mercredi figuraient des services de Wikimedia, les sites web et les applications d’Orange dans des dizaines de pays, 32 services du gouvernement britannique, des hôpitaux néerlandais et le fournisseur informatique fédéral allemand ITZBund, selon TechRadar. Le Bureau de la responsabilité budgétaire du Royaume-Uni et le site web du conseil municipal d’Édimbourg étaient de nouveau en ligne jeudi. Le site néerlandais de signalement anonyme de crimes Meld Misdaad Anoniem était toujours hors ligne jeudi matin, selon DutchNews.

Des sociétés de sécurité recommandent d’auditer les serveurs et de renouveler les identifiants

La société de sécurité Tag1 a conseillé aux administrateurs d’examiner les fichiers PHP qui n’ont pas été téléversés par des utilisateurs autorisés, de vérifier la présence de nouvelles tâches planifiées et de nouveaux comptes, et de renouveler les mots de passe des bases de données ainsi que les clés API des serveurs accessibles depuis Internet qui utilisaient des versions vulnérables. La société de sécurité Mallory a dénombré environ 884 000 hôtes accessibles depuis Internet exécutant des versions de PHP qui ne reçoivent plus de correctifs officiels. Amazon a conseillé aux défenseurs : « Ils ne doivent pas supposer que la date de divulgation publique correspond à la première exploitation », et leur a recommandé de vérifier tout serveur exécutant une version vulnérable depuis au moins le 17 octobre.

FAQ

Quelles versions de PHP ont reçu des correctifs de sécurité le 21 octobre ?
PHP a publié mercredi les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger les vulnérabilités PHP2Shell. PHP a indiqué que la mise à jour était la seule option sûre, aucune mesure d’atténuation complète n’étant disponible.

Combien de tentatives d’exploitation Cloudflare a-t-il détectées après la divulgation de PHP2Shell ?
Le PDG de Cloudflare, Matthew Prince, a signalé des milliers de tentatives durant les 10 heures précédant l’annonce, des dizaines de milliers dans les 45 minutes suivant la divulgation, des centaines de milliers en moins de deux heures, puis des millions.

Quelles organisations ont mis leurs sites web hors ligne après la divulgation de la vulnérabilité PHP ?
Selon TechRadar, les organisations qui ont mis des sites web hors ligne mercredi comprenaient des services de Wikimedia, les sites web d’Orange dans des dizaines de pays, 32 services du gouvernement britannique, des hôpitaux néerlandais et le fournisseur informatique fédéral allemand ITZBund.