Des failles critiques dans les logiciels de sites Web omniprésents attirent un avertissement urgent de la NSA et du FBI

Deux failles critiques dans les logiciels largement utilisés dans les sites Web incitent la NSA, le FBI et la Cybersecurity and Infrastructure Security Agency à exhorter les organisations à mettre à jour leurs systèmes ou à les mettre hors ligne immédiatement.

Les vulnérabilités affectent PHP, un langage de programmation qui fonctionne en arrière-plan pour exécuter des sites Web, traiter des formulaires et récupérer des informations. Les pirates pourraient exploiter ces failles pour exécuter des commandes sur un serveur concerné sans se connecter, ce qui leur permettrait potentiellement de voler des données, de modifier le contenu d’un site Web ou d’en prendre le contrôle, ont annoncé mercredi les agences.

Les puissances PHP font fonctionner environ 70 % des sites Web dont le langage de programmation côté serveur sous-jacent peut être identifié, selon le tracker de technologie Web W3Techs. Il s’agit d’un élément clé des plateformes de création de sites Web populaires, notamment WordPress, Drupal et Joomla.

L’unité 42 de Palo Alto Networks a déclaré avoir identifié plus de 22,6 millions d’instances exposées sur Internet qui pourraient être vulnérables.

« Bien que la CISA n’ait pas observé d’exploitation de ces vulnérabilités au moment de la publication, elles présentent un risque pour les organisations si elles ne sont pas corrigées », a déclaré l’agence de cyberdéfense dans un article de blog.

UN Nextgov/FCW Une analyse utilisant Shodan, un moteur de recherche qui catalogue les systèmes connectés à Internet, a identifié environ 900 résultats associés à des sites Web du gouvernement fédéral, étatique et local des États-Unis qui montraient des signes d’utilisation de PHP. Beaucoup répertorient les anciennes versions du logiciel, bien qu’il ne soit pas clair si les enregistrements reflètent les versions actuellement exécutées sur ces systèmes, car Shodan n’a peut-être pas encore capturé les mises à jour récentes.

Les gouvernements européens ont déjà mis certains sites Web hors ligne pour mettre en œuvre des correctifs.

« Je m’attendrais à de nombreuses exploitations opportunistes : les attaquants n’ont pas besoin de savoir ce qui est vulnérable avant de commencer à frapper aux portes », a déclaré Trey Darley, fondateur de Proper Tools, un cabinet de conseil en normes de cybersécurité. « Pendant ce temps, les défenseurs ne peuvent pas compter de manière fiable ce dont ils ont besoin pour corriger et protéger. »

« À l’heure actuelle, la priorité est de protéger les systèmes dont disposent réellement les gens », a-t-il ajouté.

Le gouvernement américain a participé à la coordination de la réponse avant la divulgation. OpenAI a déclaré qu’elle et ses partenaires avaient engagé la Super Intelligence Force de la Maison Blanche, le Bureau du directeur national de la cybersécurité et l’Agence de cybersécurité et de sécurité des infrastructures pour aider les directives de sécurité à atteindre les organisations responsables des infrastructures critiques et d’autres services essentiels.

Les failles, collectivement connues sous le nom de « php2shell », affectent le logiciel situé sous les sites Web plutôt que celui d’un seul site Web ou d’une seule application. Cela signifie qu’une organisation aurait pu soigneusement sécuriser son propre code tout en étant exposée via le logiciel PHP qui l’exécute.

La société de cybersécurité Wiz a déclaré avoir démontré des attaques réussies contre les installations WordPress, Drupal et Joomla. Les chercheurs ont également montré qu’ils pouvaient lire des informations sensibles dans la mémoire de travail d’un serveur, notamment les mots de passe et les informations d’identification.

Les développeurs de PHP ont également déclaré que toutes les installations gérant les requêtes Web étaient menacées. Dans certaines configurations, une attaque peut avoir lieu avant même que le code du site Web ne soit exécuté.

Cette découverte confirme que l’IA aide les chercheurs à trouver et à exploiter les failles de logiciels largement utilisés. OpenAI a déclaré que la société de sécurité Calif a identifié une faille critique à l’aide de son modèle GPT-5.6 Sol, tandis que Wiz a découvert et signalé les deux vulnérabilités de manière indépendante. Les responsables de PHP ont dirigé le développement et la publication des correctifs.

Les développeurs de PHP ont publié mercredi des mises à jour pour les versions prises en charge du logiciel. Ils ont déclaré que les organisations utilisant des distributions Linux ou des services de support à long terme devraient vérifier auprès de leurs fournisseurs les packages mis à jour, y compris les correctifs adaptés aux anciennes versions.

Les avertissements faisaient suite à une fuite précoce qui a accéléré les plans de divulgation et de correction des vulnérabilités. Un message sur le forum technologique Hacker News a fait surface mardi matin et a ensuite été supprimé, mais des captures d’écran se sont répandues sur les réseaux sociaux, selon la société de cybersécurité Huntress. Les développeurs de PHP ont ensuite annoncé que les correctifs arriveraient un jour avant la divulgation prévue, laissant peu de temps aux opérateurs de sites Web pour préparer les mises à jour.

Note de l’éditeur : cette histoire est en rupture et peut être mise à jour.