Vulnérabilités critiques dans PHP : alertes de sécurité mondiales
Des failles critiques dans le langage PHP exposent les serveurs web au risque d'exécution de code à distance, poussant les organisations à mettre à jour leurs systèmes d'urgence.
Deux vulnérabilités majeures ont été découvertes dans le langage de programmation PHP, qui supporte environ 70 % du web. Identifiées par le chercheur Ryan Austin de la firme Calif, ces failles, baptisées "php2shell", permettent à un attaquant d'exécuter du code malveillant sur un serveur web, pouvant ainsi compromettre l'intégralité du système.
Les versions de PHP allant de 5.4 à 8.5.11 sont vulnérables. Des agences de cybersécurité, dont le Cert-In indien, la CISA américaine et le CERT-UE, ont diffusé des alertes urgentes. Cloudflare a constaté une explosion des tentatives d'exploitation, passant de quelques milliers à plusieurs millions en seulement quelques heures. Par mesure de précaution, plusieurs entités gouvernementales et commerciales ont choisi de mettre leurs sites hors ligne.
L'analyse de Calif indique que ces failles ont été identifiées grâce à l'aide d'outils d'intelligence artificielle. La NSA a conseillé aux organisations de mettre leurs systèmes à jour sans délai ou de couper l'accès aux services exposés. Compte tenu de la prévalence de PHP dans des systèmes comme WordPress ou Drupal, les experts préviennent que la menace restera active pendant une période prolongée.