Des millions de services PHP attendent encore deux correctifs critiques
Deux correctifs critiques existent depuis mardi, mais Censys compte encore 34 millions de services PHP vulnérables, dont plus de 2 millions en France.
Par
Romain Szymanski
En bref
- Deux failles critiques baptisées PHP2Shell ont été corrigées dans PHP.
- Des tentatives d’exploitation ont été repérées avant la publication des correctifs.
- Censys suit la progression des mises à jour pays par pays.
- Couper le service reste la consigne tant que la correction n’est pas appliquée.
Le vendredi 23 octobre, de nombreux sites français affichaient toujours « Site en maintenance », alors que deux correctifs critiques pour PHP étaient disponibles, rapporte ZDNet France.
Des sites coupés, d’autres rétablis
La Cnil a résolu le problème de son côté. Le site de la préfecture de la Seine-Saint-Denis, lui, restait indisponible au moment où ZDNet France écrivait. Ces interruptions sont des coupures volontaires, décidées par mesure de sécurité.
La journée a été compliquée par une panne de réseau mobile chez Orange, attribuée par l’opérateur à la défaillance d’un équipement du cœur de réseau mobile. Un ingénieur réseau a signalé la difficulté de se connecter à son hébergeur lorsque la double authentification passe par SMS. Aucun lien de cause à effet n’est établi entre cette panne et les failles.
PHP2Shell, deux failles dans un langage omniprésent
Les vulnérabilités, dénommées PHP2Shell, touchent le projet PHP, qui fait tourner environ 70 % des sites web du monde selon une estimation largement partagée. Elles ont été corrigées mardi dernier. Elles affectent aussi plusieurs versions dont les mainteneurs n’assurent plus le support : des correctifs exceptionnels ont été publiés pour elles, et le CERT-FR recommande d’isoler les équipements concernés.
Un outil reposant sur l’intelligence artificielle a permis de repérer ces failles que personne n’avait vues auparavant.
Une exploitation qui a devancé les correctifs
La divulgation a dérapé, comme l’a signalé Amazon. Le groupe a identifié une tentative d’exploitation quatre jours avant la publication des correctifs, et d’autres quelques heures avant la levée de l’embargo. Selon l’entreprise, le délai entre un correctif et l’exploitation d’une faille se réduit pour des raisons structurelles : avec l’IA, transformer un avis de sécurité et un correctif en exploit fonctionnel prend « quelques heures, voire quelques minutes ».
Le patron de l’Anssi, Vincent Strubel, nuance : « l’IA n’est a priori pour rien dans le caractère chaotique de l’alerte qui prend tout le monde au dépourvu ». Selon lui, « il semblerait que ce soit un bon vieux quiproquo » sur le tempo de divulgation.
Le retard de mise à jour, chiffré par Censys
Censys a mis en place une page de suivi des versions touchées et de l’avancement des correctifs, par pays, réseau et version de PHP. Ses chiffres proviennent d’un scan : ce sont des estimations, pas un décompte définitif.
Dans l’Hexagone, seules près de 290 000 instances ont été mises à jour pour l’instant.
Couper le service en attendant
Pour les sites tournant sur une version dont le support est arrêté, le CERT-FR demande d’isoler les équipements affectés, en complément des correctifs exceptionnels publiés.
Photo : cottonbro studio / Pexels
