Les agences de cybersécurité ont pressé les exploitants de sites de sécuriser leurs systèmes PHP le 22 octobre, prolongeant la réponse mondiale à deux failles critiques. Le Centre national de cybersécurité néo-zélandais a demandé des correctifs immédiats et une surveillance des attaques. Cet avertissement suit les mises à jour d’urgence du 21 octobre, destinées à empêcher un attaquant d’exécuter du code sur un serveur sans se connecter.
L’avis du projet PHP considère à risque toutes les installations traitant des requêtes web, dont PHP-FPM et Apache avec mod_php. Le risque est jugé maximal pour mod_php, où les chercheurs ont démontré une attaque avant l’exécution du code applicatif. PHP produit des pages web et gère des tâches côté serveur : l’exposition dépend donc des logiciels et de la configuration du service.
Le projet a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger les failles CVE-2026-109618 et CVE-2026-109619. Son avis décrit des problèmes de gestion de mémoire et d’état interne conservé entre les requêtes. Les exploitants utilisant des paquets de distributions ou de fournisseurs de support prolongé doivent consulter ces derniers pour obtenir les versions corrigées, précise le projet.
La Fondation PHP indique que les premiers signes d’un problème sont apparus après un audit de sécurité de 2024. Des signalements ultérieurs de Calif, OpenAI et Wiz ont établi toute sa portée, faisant du correctif sa priorité de sécurité en août. La fondation reconnaît que le manque de ressources et la difficulté à choisir une réparation compatible avaient retardé les travaux ; elle modifie ses processus de décision.
Le Centre national de cybersécurité britannique demande aux organisations de recenser PHP dans leur infrastructure, en donnant priorité aux systèmes exposés à internet. Selon ses recommandations, les exploitants incapables de mettre à jour ou d’appliquer rapidement des mesures temporaires devraient envisager une mise hors ligne. Ces précautions réduisent l’exposition ; une interruption ne prouve pas, à elle seule, une intrusion.
L’agence néo-zélandaise avertit qu’un correctif n’annule pas une compromission existante. Les recommandations britanniques prévoient aussi de rechercher des signes d’intrusion et des portes dérobées lorsqu’une mise à jour ou un arrêt immédiat est impossible. Les deux agences insistent sur la surveillance continue ; Londres demande également de suivre les correctifs des produits et services tiers intégrant PHP.
Commentaires