Deux vulnérabilités devraient être rendues publiques par les développeurs du langage de script serveur PHP, qui est à la base d’une grande partie des technologies web sur Internet. Les numéros de suivi CVE suivants ont été communiqués, bien que les informations techniques soient limitées et qu’aucune confirmation n’ait été donnée par les développeurs principaux quant aux versions concernées.
Suite à l’annonce et à la divulgation de la gravité de ces vulnérabilités, des chercheurs en sécurité tels que WatchTowr ont commencé à mener des investigations et à fournir des détails sur le correctif à venir.
Il en ressort notamment que ces failles permettent l’exécution de code à distance et ont de graves implications : l’exécution de code à distance est possible sur un large éventail de versions, à partir de PHP 5. Compte tenu du déploiement de ces technologies dans des applications exposées à Internet, cela présente un risque élevé d’exploitation à distance. Il convient de noter que WatchTowr ne pense pas que la faille soit exploitée au moment de la rédaction de cet article
Les systèmes les plus exposés sont tous ceux qui utilisent PHP. Il s’agit d’un large éventail de technologies, notamment WordPress, Joomla et Magento, déjà connues pour être largement exploitées.
Au moment de la rédaction de cet article, la publication prochaine du correctif va déclencher une course entre les acteurs malveillants et les administrateurs système pour appliquer le correctif avant que des exploits ne puissent être développés et déployés. Des exploits de preuve de concept fonctionnels seraient déjà disponibles ; par conséquent, certains administrateurs système auraient décidé de mettre temporairement hors ligne leurs sites web jusqu’à la publication du correctif. Les versions 8.1 ou antérieures ne bénéficieront pas de ce correctif.
Si vous gérez un système utilisant PHP dans l’environnement de votre organisation, nous vous recommandons de contacter Integrity360 pour obtenir des conseils et une assistance.
Deux vulnérabilités ont récemment été identifiées dans PHP, un langage de script côté serveur largement utilisé qui constitue un composant clé de nombreuses applications web. PHP a depuis publié des mises à jour de sécurité pour corriger ces problèmes. Les identifiants CVE suivants sont associés à ces vulnérabilités.
Les informations fournies par les développeurs indiquent que les deux vulnérabilités, répertoriées respectivement ci-dessous, concernent une corruption due à un dépassement de mémoire et des vulnérabilités liées à un état global obsolète.
La publication du correctif pour les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 constitue, selon les développeurs, la seule solution complète pour atténuer cette vulnérabilité. Les distributions Linux ont reçu les correctifs en avant-première, tandis que les versions plus anciennes, notamment PHP 8.1 et les versions antérieures, ne recevront pas ce correctif.
Les développeurs de PHP ont déclaré que «toutes les installations PHP traitant des requêtes Web, y compris PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed, sont concernées. Nous considérons que le risque est le plus élevé pour mod_php, avec une exploitation démontrée où une requête non authentifiée peut déclencher l’attaque avant même l’exécution du code de l’application. » Les systèmes les plus exposés sont tous ceux qui utilisent PHP. Il s’agit d’un large éventail de technologies, notamment WordPress, Joomla et Magento, déjà connues pour être largement exploitées.
Au moment de la rédaction de cet article, le correctif a été publié, et les gestionnaires de sites web sont désormais invités à mettre à jour toutes les installations de toute urgence. Des exploits de preuve de concept fonctionnels seraient déjà disponibles ; c’est pourquoi certains administrateurs système auraient décidé de mettre temporairement hors ligne leurs sites web jusqu’à la publication du correctif.
Les organisations qui ne sont pas en mesure d’appliquer immédiatement les mises à jour de sécurité PHP concernées devraient envisager de mettre temporairement hors ligne les applications exposées à Internet jusqu’à ce que l’application du correctif soit terminée. Continuer à exploiter des systèmes vulnérables peut les exposer à des risques de compromission, en particulier lorsque PHP est directement accessible à des utilisateurs non authentifiés.
Integrity360 suivra de près la publication du correctif et fournira des informations complémentaires au fur et à mesure de l’évolution de cette vulnérabilité critique.
Si vous gérez un système utilisant PHP dans l’environnement de votre organisation, nous vous recommandons de contacter Integrity360 pour obtenir des conseils et une assistance.