Selon Amazon, deux vulnérabilités de PHP surnommées « PHP2Shell » font l'objet d'une exploitation à grande échelle, ce qui pose un problème de correction urgent pour les organisations qui exploitent des sites et des serveurs fonctionnant avec PHP.
Le rapport décrivant la divulgation indique que les développeurs de PHP ont publié des mises à jour de sécurité mercredi. La NSA a conseillé à toutes les organisations utilisant PHP de les installer immédiatement ou, si une correction rapide n'est pas possible, de mettre les systèmes concernés hors ligne jusqu'à ce qu'ils puissent être entièrement protégés.
Le rapport disponible n'identifie ni les branches de PHP touchées, ni les numéros de versions vulnérables, ni les versions corrigées. Il ne fournit pas non plus d'identifiants CVE. Les administrateurs ne devraient donc pas considérer qu'une installation donnée est sûre pour la seule raison qu'elle est relativement récente.
Amazon a repéré une tentative d'exploitation avant la divulgation
Amazon a déclaré mercredi avoir détecté une tentative d'exploitation de la faille quatre jours avant que les vulnérabilités ne deviennent publiques. L'entreprise décrit également ces failles comme étant largement exploitées dans la nature.
Ce témoignage constitue une preuve d'exploitation active, même si le rapport n'attribue pas cette activité à un attaquant précis et ne chiffre pas le nombre de systèmes ciblés ou compromis.
Des chercheurs des entreprises américaines de cybersécurité Calif et Wiz ont découvert les deux vulnérabilités, lesquelles, selon le rapport, étaient restées non détectées pendant plus d'une décennie. Des modèles d'OpenAI et de Google ont contribué à la recherche, tandis que selon certaines informations, OpenAI, PHP, Calif et Wiz ont collaboré pour valider les résultats et préparer les correctifs. Wiz appartient à Alphabet.
Des attaques réussies pourraient exposer serveurs et bases de données
La NSA a averti que ces failles peuvent souvent offrir aux attaquants un accès direct au système de fichiers ou à la base de données d'un serveur. Le Centre national de cybersécurité britannique (NCSC) indique quant à lui qu'une exploitation pourrait permettre à un attaquant de prendre le contrôle d'un serveur web sans fournir de mot de passe ni d'autres identifiants de connexion.
Ces conséquences pourraient mettre en danger le contenu des sites, les fichiers d'applications et les services reposant sur une base de données, selon la configuration du serveur concerné. Le rapport ne précise pas les causes techniques profondes des vulnérabilités ni les conditions exactes requises pour les exploiter.
Selon certaines informations, plusieurs gouvernements européens mettaient des sites hors ligne pendant l'application des correctifs. Aux États-Unis, la Maison-Blanche a indiqué que les agences fédérales évaluaient les effets possibles sur les réseaux gouvernementaux et les infrastructures critiques.
La portée de PHP complique la priorisation des correctifs
Wiz estime qu'environ 70 % des sites web dans le monde utilisent PHP. Ce chiffre décrit l'adoption de PHP, et non la proportion de sites dont il est confirmé qu'ils fonctionnent avec des versions vulnérables.
WordPress est particulièrement concerné, car la plateforme est écrite principalement en PHP et repose sur ce langage pour fonctionner. Toutefois, le rapport n'établit pas que chaque site WordPress, ni chaque installation de PHP, est vulnérable.
Les administrateurs devraient repérer les systèmes qui exécutent PHP, donner la priorité aux serveurs de production exposés et déployer les mises à jour de sécurité de PHP publiées mercredi. Lorsqu'un système concerné ne peut pas être mis à jour immédiatement, la recommandation de la NSA est de le mettre hors ligne tant qu'une protection complète n'est pas possible. Comme le rapport ne précise pas les numéros des versions corrigées, les équipes doivent vérifier que les paquets qu'elles déploient contiennent les correctifs PHP2Shell publiés par les développeurs de PHP, plutôt que de se fier uniquement à l'état des mises à jour du système d'exploitation.
OpenAI qualifie ces vulnérabilités de parmi les découvertes de sécurité les plus importantes de ces dernières années. L'entreprise affirme que l'IA de pointe a aidé les défenseurs à les découvrir avant les attaquants, tout en avertissant que les mêmes capacités pourraient accélérer le développement d'exploits, une préoccupation d'autant plus urgente qu'Amazon a signalé une exploitation dans la nature.
