((Traduction automatisée par Reuters à l'aide de l'apprentissage automatique et de l'IA générative, veuillez vous référer à l'avertissement suivant: https://bit.ly/rtrsauto))
par Leo Marchandon
Les sites web gouvernementaux à travers l'Europe ont été mis hors ligne mercredi, tandis que les opérateurs s'empressaient de corriger deux failles critiques dans PHP, l'un des langages de programmation les plus utilisés sur le web.
Les développeurs de PHP ont annoncé mercredi qu’ils allaient publier des correctifs pour ces deux failles critiques, et les responsables européens de la cybersécurité ont conseillé aux organisations incapables d’appliquer ces correctifs de mettre hors ligne les sites web concernés. Voici ce qu’il faut savoir:
QU'EST-CE QUE LE PHP?
PHP est un langage de programmation qui permet de faire fonctionner les sites web. Il travaille en arrière-plan. Lorsqu’un utilisateur charge une page, le serveur exécutant PHP assemble le contenu et envoie la page finale au navigateur.
Il est gratuit, open source et maintenu par des bénévoles. Les propriétaires de sites interagissent rarement directement avec lui.
Selon W3Techs, un observatoire des technologies web, PHP fait fonctionner près de 70 % de tous les sites web dont le langage de programmation peut être identifié. C’est le moteur de WordPress, le logiciel qui alimente environ 40 % de tous les sites web, tels que les blogs, les pages de petites entreprises, les portails gouvernementaux, les boutiques en ligne et les sites d’actualités.
QUELS SONT LES RISQUES LIÉS À CES FAILLES?
Ces deux vulnérabilités sont notées 9,2 sur 10 sur l’échelle de gravité CVSS v4.0, un système de notation standard du secteur. Le CERT-EU, l’équipe d’intervention en cybersécurité de l’Union européenne, a indiqué que cette note correspond à une exécution de code à distance sans authentification, ce qui signifie qu’un attaquant peut exécuter des commandes sur un serveur vulnérable, via Internet, sans mot de passe ni compte.
Une seule faille dans PHP ouvre la même porte sur des millions de serveurs à la fois. Quiconque exploite cette faille prend le contrôle du site web. GoDaddy GDDY.N , un hébergeur web, a indiqué que cela pouvait entraîner le vol de données, la défiguration de pages ou la compromission totale du système. Le directeur technique de Cloudflare NET.N a déclaré que les premières attaques commençaient à apparaître.
La plupart des petits sites web sont généralement gérés par leurs propriétaires, qui ne disposent pas de personnel de sécurité. Ils utilisent souvent un hébergement mutualisé, où ils ne gèrent pas le serveur et ignorent parfois qui se charge de mettre à jour PHP. Wordfence, un plugin de sécurité pour les sites WordPress, a averti que les mises à jour automatiques habituelles n’appliqueraient pas ce correctif. Le CERT-EU recommande de mettre hors ligne les sites concernés plutôt que de les laisser exposés.
COMMENT A-T-ELLE ÉTÉ DÉCOUVERTE?
Des chercheurs de la société de sécurité Calif, en collaboration avec OpenAI, ont signalé la première faille à PHP le 11 août après l’avoir détectée à l’aide du modèle GPT-5.6 Sol d’OpenAI, a indiqué l’entreprise. Wiz, une société de sécurité détenue par Google ( GOOGL.O , filiale d’Alphabet), a découvert ces failles de manière indépendante et en a signalé une deuxième le 24 août, également à l’aide de modèles d’IA.
Wiz a déclaré que ces découvertes “comptent parmi les vulnérabilités les plus graves jamais découvertes dans PHP, et sans doute dans toute l’histoire des logiciels”. Les failles sous-jacentes existaient depuis des décennies, a précisé la société, mais prouver qu’elles étaient exploitables a nécessité une série d’étapes “à la limite de ce que des chercheurs humains pouvaient raisonnablement accomplir”.
L’administration du président américain Donald Trump a déclaré qu’elle “assurait le suivi et la coordination avec les agences fédérales et les principaux laboratoires d’IA pour accélérer la publication du correctif”, faisant référence au terme préféré de Trump pour désigner l’intelligence artificielle. Elle a présenté cette découverte comme la preuve que la “super-intelligence” américaine renforce la sécurité nationale.
0 commentaire
Vous devez être membre pour ajouter un commentaire.
Vous êtes déjà membre ? Connectez-vous
Pas encore membre ? Devenez membre gratuitement
Signaler le commentaire
Fermer