Des sites web inaccessibles : du Japon à l’Europe, les autorités appellent à mettre PHP à jour en urgence

PHP a publié ce mercredi 21 octobre quatre mises à jour d’urgence qui corrigent deux failles critiques, notées 9,2 sur 10. Ces failles permettent de prendre la main sur un serveur web sans s’identifier. Les appels à mettre à jour se multiplient, sur fond de crainte d’une attaque informatique.

L’alerte avait été donnée dans la journée du 20 octobre. L’équipe derrière PHP, l’un des langages web les plus répandus sur le net, a identifié deux failles de sécurité critiques, notées 9,2/10 sur l’échelle de dangerosité des vulnérabilités. Mais fort heureusement, des correctifs étaient promis pour le mercredi 21 octobre en milieu d’après-midi.

Ces patchs viennent d’être publiés, en urgence, ce qui a donné lieu à quatre nouvelles versions de son langage : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Il est capital de mettre à jour, dès que possible, sa version de PHP. Il faut en effet avoir conscience que PHP est derrière plus de 70 % des sites dont on connaît le langage côté serveur, à commencer par tous les sites WordPress.

D’après l’avis de sécurité publié par PHP, toutes les installations qui servent des pages web sont exposées, y compris avec PHP-FPM ou FrankenPHP. Le risque est maximal avec mod_php, le module qui intègre PHP directement au serveur Apache. Dans ce cas, une requête anonyme suffit à déclencher l’attaque avant même que le code du site s’exécute.

PHP donne bien quelques réglages de secours, mais prévient qu’ils ne rendent pas un serveur sûr. Surtout, PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour officielles. Pour les versions 7.4, 8.0 et 8.1, l’équipe a seulement mis en ligne des correctifs minimaux, qu’il faut compiler soi-même.

Attention si votre site tourne sous WordPress : d’après Reuters, la société de sécurité Wordfence a prévenu que les mises à jour automatiques du CMS (le logiciel qui gère le site) n’installeront pas ce correctif, puisqu’il concerne le serveur. Demandez à votre hébergeur quelle version de PHP fait tourner votre site et quand elle sera mise à jour.

Une pagaille en ligne, et une crainte de voir émerger des attaques

Au Japon, la première ministre a même pris la parole sur X pour alerter la population. En France aussi, les effets de cet incident se font ressentir, avec des sites ponctuellement indisponibles, le temps de faire la mise à jour. C’est le cas, par exemple, de Météo France.

Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Twitter.
Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par Twitter avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus)

En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .

Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.

Toujours selon Reuters, la situation est préoccupante : des signalements d’attaques ont poussé les Pays-Bas et la Finlande à couper des sites publics par précaution. Le site de l’agence néerlandaise de cybersécurité en fait partie. Des spécialistes en cybersécurité ont relevé du code d’exploitation qui circule désormais publiquement.

Des agences de cybersécurité en Europe, au Royaume-Uni, en Australie et au Japon ont appelé à mettre à jour immédiatement, ou à couper les sites concernés en attendant. Idem en France.

L’ampleur réelle des attaques reste floue. Dane Knecht, directeur technique de Cloudflare, a dit voir « de premières attaques » et a renforcé les protections de l’entreprise en solution d’attente. L’agence australienne ACSC indiquait de son côté ne pas avoir connaissance d’une exploitation active.

Il est à noter que celles et ceux encore sur PHP 8.2 n’ont de toute façon plus beaucoup de temps : cette version ne recevra plus aucun correctif de sécurité après le 31 décembre 2026.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !