Community Trust ScoreVérifié
Une faille critique de sécurité dans PHP est restée sans correctif pendant des mois. Aujourd’hui, les plateformes d’échange, les portails gouvernementaux et les plateformes crypto se démènent.
Mercredi, la PHP Foundation a publiquement reconnu sans détour que son indécision et ses effectifs réduits avaient retardé la correction d’une grave vulnérabilité repérée pour la première fois en 2024. Les développeurs n’arrivaient pas à trouver de correctif qui ne casse pas le vaste écosystème de logiciels conçus avec PHP. L’équipe principale était petite, les responsabilités lourdes, et les travaux sur une solution ont été interrompus puis relancés à plusieurs reprises pendant des mois. La fondation a qualifié la situation de défaillance structurelle — tant dans le processus de décision de l’équipe de sécurité que dans le manque de ressources dont elle disposait pour agir.
Le correctif avait déjà été bloqué à plusieurs reprises avant que quiconque, en dehors de l’équipe, ne sache à quel point la situation était grave.
Comment le correctif a finalement avancé
La vulnérabilité est revenue dans le viseur de la fondation le 11 août, lorsque l’entreprise de cybersécurité Calif et OpenAI ont signalé indépendamment le même problème sous-jacent. Calif est allée plus loin : elle a démontré une exécution de code à distance sans condition, ce qui signifie qu’un pirate pouvait exécuter du code sur un serveur vulnérable sans même se connecter. L’urgence a alors rapidement changé de niveau. La fondation en a fait une priorité absolue en matière de sécurité et a publié des correctifs d’urgence couvrant deux vulnérabilités critiques liées. L’équipe de sécurité de PHP a déclaré n’avoir détecté aucune exploitation fonctionnelle dans la nature au moment de la divulgation publique du problème. Mais les dégâts potentiels étaient suffisamment évidents pour que les organisations n’attendent pas.
Des gouvernements ont mis leurs sites Web hors ligne. Non pas en réaction à des attaques confirmées, mais par précaution.
Les Pays-Bas ont arrêté leur service d’identité numérique, et leur Centre national de cybersécurité a également mis son propre site Web hors ligne. Valtori, le fournisseur informatique de l’État finlandais, a déconnecté les services Web publics du gouvernement. Le ministère français de l’Intérieur a temporairement mis hors ligne les sites des préfectures. En Allemagne, le fournisseur informatique fédéral ITZBund a désactivé plusieurs sites. En Australie, l’Australian Signals Directorate a confirmé que cyber.gov.au — son propre site de conseils en cybersécurité — figurait parmi les sites gouvernementaux touchés. La source ne précisait pas combien de temps il était resté hors ligne.
La Première ministre japonaise Sanae Takaichi a publié un message sur X exhortant les gestionnaires de sites Web à appliquer rapidement le correctif. Elle a déclaré que ceux qui ne pouvaient pas le faire immédiatement devraient envisager de suspendre temporairement les fonctionnalités de leur site afin de réduire les risques.
La Wikimedia Foundation a également mis hors ligne des services complémentaires, notamment Toolforge et Cloud VPS, qui hébergent des outils conçus par des développeurs bénévoles. Certaines parties de Wikipédia ont été indisponibles mercredi.
Le secteur des cryptos vérifie son exposition
L’entreprise de sécurité blockchain SlowMist a effectué un balayage à l’aide de son service MistEye. Elle a passé en revue 1 488 domaines du secteur des cryptos et détecté des signatures PHP directes sur 793 d’entre eux. Il s’agit d’un décompte de domaines, et non d’un nombre de systèmes dont la vulnérabilité est confirmée — mais cela indique tout de même qu’une grande partie du secteur devait rapidement vérifier sa situation. SlowMist a exhorté les plateformes d’échange, les plateformes de finance décentralisée et les fournisseurs de portefeuilles à évaluer leur exposition et à effectuer la mise à niveau sans délai.
Intersect, l’organisation de développement et de gouvernance de Cardano, a mis hors ligne l’espace réservé à ses membres pendant qu’elle évaluait son exposition potentielle. La page était toujours inaccessible au moment de la publication de l’article.
Jeff Lunglhofer, directeur de la sécurité de Coinbase, a déclaré que l’entreprise n’avait trouvé aucun signe d’instances PHP exposées. Il a indiqué que Coinbase avait effectué un balayage complet après avoir pris connaissance de vulnérabilités de ce type et qu’elle avait travaillé avec des fournisseurs tiers pour obtenir une assurance supplémentaire.
BitGo, l’entreprise d’infrastructure d’actifs numériques, a également déclaré que sa plateforme n’était pas touchée.
Le cofondateur de Binance, Changpeng Zhao, a publié un avertissement mercredi, invitant les internautes à redoubler de prudence lorsqu’ils visiteraient des sites Web dans les jours à venir. Il a déclaré que certains administrateurs de sites Web n’étaient peut-être pas à jour dans l’application des correctifs de sécurité — une inquiétude qui semble raisonnable, compte tenu de l’ampleur de l’écosystème PHP.
Et OpenAI ne s’est pas contentée de signaler le bogue. Elle a publié une compétence Codex pour aider les gestionnaires de sites Web à repérer les versions potentiellement vulnérables de PHP et à trouver les mises à jour applicables. L’outil est disponible sur GitHub.
Aucune exploitation fonctionnelle n’a été publiquement identifiée au moment de la divulgation. Mais la rapidité avec laquelle les gouvernements ont fermé des sites et l’ampleur du balayage dans le secteur des cryptos — 793 domaines signalés sur 1 488 vérifiés — montrent à quel point le secteur a pris cette affaire au sérieux. La qualification de défaillance structurelle employée par la PHP Foundation n’était pas une formule de circonstance. Elle reconnaissait qu’un retard de plusieurs mois dans le traitement d’un problème connu avait déclenché une urgence dans les gouvernements et les plateformes du monde entier. C’est la preuve d’exécution de code à distance apportée par Calif qui a finalement débloqué la situation.
Questions Fréquentes
Pourquoi le correctif de sécurité de PHP a-t-il été retardé aussi longtemps ?
La PHP Foundation a déclaré que l’indécision et le manque de ressources avaient bloqué la correction d’une faille repérée pour la première fois en 2024, les développeurs peinant à trouver une solution qui ne casse pas le vaste écosystème logiciel de PHP. Les travaux ont été interrompus puis relancés à plusieurs reprises pendant des mois, avant que Calif ne démontre en août une exécution de code à distance sans condition.
Combien de domaines du secteur des cryptos présentaient des signatures PHP lors du balayage de SlowMist ?
Le service MistEye de SlowMist a détecté des signatures PHP directes sur 793 des 1 488 domaines examinés dans le secteur des cryptos. Ce décompte recensait les domaines présentant une exposition à PHP, et non les systèmes dont la vulnérabilité était confirmée.
