Contexte et portée
L’article de WIRED signale l’existence de deux vulnérabilités critiques dans le moteur PHP, décrites comme capables de « mettre le feu à Internet ». Le texte indique que ces failles touchent un grand nombre de sites web – PHP étant l’un des langages serveur les plus déployés, notamment dans les CMS populaires. Aucun identifiant CVE n’est fourni, mais la gravité est soulignée par le terme « critical », ce qui place les vulnérabilités au même niveau que les précédentes failles d’exécution de code à distance (RCE) qui ont conduit à des compromissions massives.
Mécanisme d’exploitation
Selon le reportage, les deux failles reposent sur des défaillances de désérialisation et sur une gestion inadéquate des entrées utilisateur dans le parseur de requêtes HTTP. La première permet à un attaquant d’injecter un objet PHP spécialement forgé, déclenchant l’appel de fonctions internes sans contrôle d’accès. La seconde exploite une mauvaise validation des en‑têtes, ouvrant la porte à l’injection de code via des requêtes HTTP malformées. Ces deux vecteurs partagent le même résultat : l’exécution arbitraire de code sur le serveur cible, ce qui donne à l’attaquant le contrôle complet du processus PHP et, par extension, du système d’exploitation sous‑jacent.
Implications et mesures d’atténuation
Les conséquences décrites incluent la prise de contrôle de serveurs web, le déploiement de logiciels malveillants et la création de réseaux de bots. L’article précise que les exploitations sont déjà observées dans le trafic réseau mondial, ce qui confirme une exploitation active. En réponse, les administrateurs sont invités à mettre à jour immédiatement les versions de PHP dès qu’un correctif est publié, à désactiver les fonctions dangereuses telles que unserialize() lorsqu’elles ne sont pas indispensables, et à renforcer les filtres d’entrée au niveau du serveur web. L’utilisation de WAF (Web Application Firewall) capables de détecter les modèles d’en‑têtes suspects constitue également une ligne de défense supplémentaire. Enfin, le texte recommande de surveiller les logs d’erreurs PHP pour repérer les tentatives d’injection, car les traces d’appels à des fonctions internes inhabituelles sont souvent le premier indice d’une compromission en cours.
