Aboukam : Le blog des Technologie en Côte d'Ivoire Le meilleur de l'écosystème du numérique
L’équipe de développement de PHP a publié des correctifs d’urgence pour deux failles de sécurité critiques de PHP. PHP est le langage de programmation utilisé par une grande partie du web, notamment WordPress, Drupal et Magento.
Ces failles existent dans toutes les versions depuis PHP 5, sorti en 2004, et elles permettent aux attaquants d’exécuter leur propre code sur un serveur sans se connecter.
Quels sont les défauts ?
Ces deux vulnérabilités ont été classées à 9,2 sur 10 en termes de gravité et sont référencées sous les numéros CVE-2026-109618 et CVE-2026-109619. Elles sont surnommées PHP2Shell. Le premier défaut concerne le comportement de PHP lorsqu’il manque de mémoire, ce qui peut l’amener à traiter des données incomplètes ou corrompues.
La seconde situation implique que PHP continue d’utiliser d’anciennes informations issues d’une requête web précédente après que la mémoire les contenant a été libérée. Dans les deux cas, il est possible d’exécuter du code malveillant.
La faille se situe dans une interface de téléchargement de fichiers. Un attaquant n’a pas besoin de savoir quel site ou logiciel il cible. Il lui suffit d’envoyer un fichier spécialement conçu vers n’importe quel serveur accessible.
Wiz, la société de sécurité qui a contribué à découvrir les failles , affirme que les attaquants pourraient également lire des données sensibles en mémoire serveur, susceptibles de contenir des mots de passe, des clés API, des jetons de connexion et des certificats, dont certains appartiennent aux requêtes d’autres visiteurs.
Quelle est l’ampleur de l’exposition ?
Les estimations varient selon les éléments pris en compte. Un chercheur, Silas Cutler, estime qu’environ 1,3 million d’hôtes connectés à Internet sont concernés. D’autres sources indiquent que PHP exécute environ 70 % des sites web , soit des dizaines de millions de sites.
WordPress à lui seul alimente plus de 40 % du web, selon ses propres chiffres, et la société de sécurité Wordfence affirme que chaque site WordPress est exposé car ils fonctionnent tous en PHP.
WordPress affirme que ce problème n’est pas spécifique à son logiciel . Les propriétaires de sites doivent mettre à jour PHP sur leurs serveurs, généralement en collaboration avec leur hébergeur.
Pourquoi les gouvernements demandent aux gens de désactiver certains sites
La Fondation PHP a été catégorique : il n’existe aucune solution de contournement complète et la mise à jour est le seul choix sûr. C’est pourquoi le Centre national de cybersécurité du Royaume-Uni , l’ équipe d’intervention d’urgence informatique de l’UE, l’agence australienne de cybersécurité et la NSA ont tous donné des conseils similaires : si vous ne pouvez pas corriger la faille immédiatement, mettez le site hors ligne ou déconnectez-le d’Internet jusqu’à ce que ce soit possible.
Source
