Dans une d\u00e9claration publi\u00e9e lundi, l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 (CISA) a confirm\u00e9 que des pirates exploitent activement deux vuln\u00e9rabilit\u00e9s critiques du langage de programmation web PHP. Elle a ordonn\u00e9 aux agences f\u00e9d\u00e9rales civiles des \u00c9tats-Unis de corriger leurs syst\u00e8mes sous trois jours.<\/p>\n
Baptis\u00e9es PHP2Shell, ces failles permettent de prendre le contr\u00f4le \u00e0 distance d’un syst\u00e8me vuln\u00e9rable via Internet, sans aucun mot de passe. Les correctifs ont \u00e9t\u00e9 diffus\u00e9s il y a moins d’une semaine par les responsables de PHP, un logiciel qui \u00e9quiperait environ 70 % des serveurs accessibles sur le web, selon les estimations disponibles.<\/p>\n
La CISA n’a pas pr\u00e9cis\u00e9 qui se trouve derri\u00e8re ces attaques. Son avertissement intervient peu apr\u00e8s que des chercheurs en s\u00e9curit\u00e9 ont signal\u00e9 des indices d’exploitation de ces br\u00e8ches. Certains gouvernements et grandes entreprises avaient d\u00e9j\u00e0 mis leurs sites hors ligne le temps d’appliquer les correctifs, face \u00e0 la gravit\u00e9 de la menace.<\/p>\n
Les deux vuln\u00e9rabilit\u00e9s sont rest\u00e9es dormantes pendant des ann\u00e9es. Identifi\u00e9es il y a deux ans, elles n’avaient pas \u00e9t\u00e9 corrig\u00e9es, la fondation \u00e0 but non lucratif qui g\u00e8re PHP estimant alors qu’aucune m\u00e9thode concr\u00e8te ne permettait de les exploiter.<\/p>\n
Plus t\u00f4t cette ann\u00e9e, la situation a chang\u00e9 : des chercheurs de la soci\u00e9t\u00e9 de recherche en s\u00e9curit\u00e9 Calif ont trouv\u00e9, avec l’aide d’un mod\u00e8le d’intelligence artificielle, un moyen de tirer parti de ces deux failles. Selon les sp\u00e9cialistes, la mise au point d’une attaque fonctionnelle restait d’abord difficile, sans \u00eatre impossible.<\/p>\n
Les progr\u00e8s de l’IA dans la d\u00e9tection et l’exploitation de failles, y compris par l’encha\u00eenement de plusieurs vuln\u00e9rabilit\u00e9s, exposent d\u00e9sormais de nombreuses br\u00e8ches longtemps ignor\u00e9es ou jug\u00e9es secondaires. Des projets open source comme PHP, sous-financ\u00e9s depuis des ann\u00e9es, peinent \u00e0 payer les audits de s\u00e9curit\u00e9 qui auraient pu les r\u00e9v\u00e9ler plus t\u00f4t.<\/p>\n","protected":false},"excerpt":{"rendered":"
Failles PHP2Shell : la CISA confirme leur exploitation active et donne trois jours aux agences f\u00e9d\u00e9rales am\u00e9ricaines pour corriger.<\/p>\n","protected":false},"author":6,"featured_media":8218,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[16],"tags":[6036,6035,6037],"class_list":["post-8219","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technology","tag-php2shell-tool","tag-php-programming-language","tag-california-state"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t