La PHP Foundation a reconnu que l’indécision et le manque de ressources ont retardé la résolution d’une vulnérabilité de sécurité critique identifiée pour la première fois en 2024, qualifiant cette réponse tardive d’« échec structurel ». À travers le monde, des agences gouvernementales et d’autres organisations ont pris des mesures préventives en mettant hors ligne des sites web mercredi, tandis que PHP publiait des correctifs d’urgence pour deux vulnérabilités critiques connexes.
Vulnérabilités critiques et mesures d’urgence
Ces failles pourraient permettre à des attaquants non authentifiés d’exécuter du code sur les serveurs affectés sans avoir besoin de se connecter. PHP, qui est un langage de programmation largement utilisé pour alimenter des sites web et des applications web, y compris les systèmes de gestion de contenu, a fait l’objet d’une attention particulière suite à cette question de sécurité. Dans un billet de blog postérieur à la publication du correctif, la fondation a décrit comment les développeurs avaient identifié les premiers signes de la vulnérabilité en 2024, mais avaient rencontré des difficultés pour trouver une solution sans perturber l’écosystème logiciel massif basé sur PHP.
Impact mondial des vulnérabilités
La perturbation s’est fait sentir à l’échelle mondiale alors que les développeurs déconnectaient des sites web tout en se préparant à installer les correctifs d’urgence. Les Pays-Bas ont suspendu son service d’identité numérique, et le Centre national de cybersécurité du pays a également mis son site hors ligne. D’autres pays, dont la Finlande, l’Allemagne, et l’Australie, ont suivi, en désactivant des services web importants. En outre, la fondation Wikimedia a mis hors ligne certains services de soutien, ce qui a entraîné une interruption de certains contenus sur Wikipedia.
Conséquences et réactions
De nombreux acteurs de la crypto-sécurité ont également exprimé leurs préoccupations. Par exemple, la société SlowMist a recommandé aux plateformes d’échange et aux fournisseurs de portefeuilles d’examiner leur exposition à ces vulnérabilités. Même si certaines entreprises, comme Coinbase et BitGo, ont indiqué n’avoir trouvé aucune instance PHP exposée ou touchée, d’autres ont été mises en garde pour rester prudentes lors de la navigation sur les sites web, jusqu’à ce que les correctifs soient appliqués. OpenAI a également publié un outil pour aider les opérateurs de sites à vérifier les versions PHP potentiellement vulnérables.