Cybersécurité : la CISA alerte sur deux failles critiques de PHP

Dans une déclaration publiée lundi, l’Agence américaine de cybersécurité (CISA) a confirmé que des pirates exploitent activement deux vulnérabilités critiques du langage de programmation web PHP. Elle a ordonné aux agences fédérales civiles des États-Unis de corriger leurs systèmes sous trois jours.

Baptisées PHP2Shell, ces failles permettent de prendre le contrôle à distance d’un système vulnérable via Internet, sans aucun mot de passe. Les correctifs ont été diffusés il y a moins d’une semaine par les responsables de PHP, un logiciel qui équiperait environ 70 % des serveurs accessibles sur le web, selon les estimations disponibles.

La CISA n’a pas précisé qui se trouve derrière ces attaques. Son avertissement intervient peu après que des chercheurs en sécurité ont signalé des indices d’exploitation de ces brèches. Certains gouvernements et grandes entreprises avaient déjà mis leurs sites hors ligne le temps d’appliquer les correctifs, face à la gravité de la menace.

Les deux vulnérabilités sont restées dormantes pendant des années. Identifiées il y a deux ans, elles n’avaient pas été corrigées, la fondation à but non lucratif qui gère PHP estimant alors qu’aucune méthode concrète ne permettait de les exploiter.

Plus tôt cette année, la situation a changé : des chercheurs de la société de recherche en sécurité Calif ont trouvé, avec l’aide d’un modèle d’intelligence artificielle, un moyen de tirer parti de ces deux failles. Selon les spécialistes, la mise au point d’une attaque fonctionnelle restait d’abord difficile, sans être impossible.

Les progrès de l’IA dans la détection et l’exploitation de failles, y compris par l’enchaînement de plusieurs vulnérabilités, exposent désormais de nombreuses brèches longtemps ignorées ou jugées secondaires. Des projets open source comme PHP, sous-financés depuis des années, peinent à payer les audits de sécurité qui auraient pu les révéler plus tôt.