PHP publie un correctif pour deux vulnérabilités critiques d'exécution de code à distance

Contexte et portée des vulnérabilités

Le 23 mai 2024, les développeurs de PHP ont annoncé la sortie d’un correctif prévu à 10 h ET, destiné à combler deux failles classées 9,2/10 sur l’échelle CVSS. Selon l’avis officiel, les failles touchent toutes les versions de PHP depuis la 5, ce qui représente plus de 1,3 million d’hôtes connectés à Internet. L’impact potentiel est amplifié par le fait que WordPress, qui alimente plus de 40 % du Web, repose sur PHP ; chaque site WordPress serait donc exposé.

Mécanisme d'exploitation et risques associés

Les deux vulnérabilités sont des Remote Code Execution (RCE). Elles permettent à un attaquant d’injecter et d’exécuter du code arbitraire sur le serveur hébergeant l’application PHP. Le vecteur d’attaque exploite une désérialisation non sécurisée d’objets, une faiblesse présente dans le cœur du moteur d’interprétation depuis PHP 5. Cette persistance du problème à travers les versions indique que le composant vulnérable n’a jamais été refactorisé, rendant chaque mise à jour de version intermédiaire insuffisante pour corriger le défaut. Une fois le code exécuté, l’attaquant peut modifier le contenu du site, voler des bases de données ou installer des portes dérobées, ce qui explique la recommandation de certaines agences de cybersécurité de mettre les services hors ligne en attendant le correctif.

Mesures de mitigation et implications opérationnelles

Le correctif ne peut pas être appliqué via les mécanismes de mise à jour automatique de la plupart des environnements d’hébergement ; il requiert une intervention manuelle du responsable système. Les équipes doivent identifier le gestionnaire de PHP, télécharger le paquet de mise à jour et redémarrer les services, ce qui peut entraîner une interruption de service. En l’absence de correctif immédiat, le European Union Computer Emergency Response Team (EU‑CERT‑EU) et le UK National Cyber Security Centre (NCSC) conseillent d’isoler les applications exposées ou de les désactiver temporairement. GrapheneOS a déjà mis son forum d’utilisateurs hors ligne, citant la disponibilité de preuves de concept. Des chercheurs de Sansec ont prédit des attaques massives dans les 15 minutes suivant la publication du correctif, et Cloudflare a confirmé la détection d’attaques précoces, ajustant ses règles de pare‑feu comme mesure d’atténuation provisoire.

Cette situation illustre la tension entre la nécessité de maintenir la disponibilité des services Web et la contrainte de sécuriser rapidement une infrastructure largement homogène. La dépendance massive de l’écosystème WordPress à PHP signifie que même les petites structures doivent disposer d’un processus de mise à jour PHP fiable, sinon elles s’exposent à des interruptions majeures. À moyen terme, les acteurs du secteur devront envisager des stratégies de segmentation réseau et de surveillance accrue pour détecter les tentatives d’exploitation de RCE, tout en planifiant des cycles de mise à jour plus fréquents afin de réduire la surface d’exposition aux vulnérabilités de ce type.