Une crise de sécurité grave se déroule aujourd'hui alors que des failles PHP généralisées provoquent de nombreuses pannes de sites Web et l'affichage de pages d'erreur. Les experts avertissent que près de 70 % des sites Web doivent mettre à jour leur logiciel de base immédiatement pour remédier à deux vulnérabilités critiques qui permettent aux attaquants d'exécuter du code arbitraire et de prendre le contrôle total des serveurs affectés. Des exploits fonctionnels pour ces bogues sont déjà confirmés comme étant utilisés dans la nature.
Les vulnérabilités touchent PHP, le langage de programmation alimentant les principaux systèmes de publication Web, notamment Drupal, Magento, Joomla et WordPress. En réponse, l'équipe PHP a publié une mise à jour de sécurité d'urgence plus tôt aujourd'hui. Les failles affectent tous les serveurs Web exécutant la version 5.4 ou ultérieure de PHP et sont suivies sous les références CVE-2026-109618 et CVE-2026-109619. Des correctifs ont été publiés dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
L'impact immédiat a déjà été ressenti à l'échelle mondiale, Reuters rapportant que des sites Web gouvernementaux en Europe et dans d'autres régions sont hors ligne suite à la divulgation. Cloudflare a détecté des tentatives d'exploitation active tôt le matin et a mis en place des règles de pare-feu d'application Web à 3 h 02 UTC pour bloquer le trafic d'attaque. Ces exploits posent des risques de déni de service, d'exécution de code à distance et d'exposition des données.
OpenAI, qui a participé aux efforts de recherche et de sensibilisation, a décrit la situation comme l'un des problèmes de sécurité les plus impactants dont on se souvienne récemment en raison de la gravité des failles et de l'omniprésence de PHP. Les données de Censys indiquent qu'environ 2,58 millions d'hôtes tournés vers Internet et 54,9 millions de propriétés Web exécutent actuellement PHP. Des experts en sécurité de Wiz ont noté que chaque version de PHP publiée au cours de la dernière décennie est affectée par au moins l'une de ces vulnérabilités.
Les chercheurs de Wiz, crédités de la découverte des failles aux côtés de Calif et d'OpenAI, ont déclaré que les bogues sous-jacents existaient depuis des décennies mais nécessitaient une chaîne de étapes exceptionnellement complexe pour être exploités. Ils ont souligné que les modèles d'IA de pointe ont considérablement réduit cette barrière, transformant une faille théorique de longue date en un exploit pratique. Les chercheurs anticipent une exploitation massive visant à installer des portes dérobées basées sur le Web ou des « web shells » pour contrôler à distance les sites infectés.
L'ampleur du problème a suscité des comparaisons avec la vulnérabilité Log4Shell de 2021. Les chercheurs de Wiz ont souligné que, comme PHP est profondément intégré dans les clouds, les fournisseurs d'hébergement et les réseaux de diffusion de contenu, les organisations auront probablement du mal à corriger ces vulnérabilités pendant un certain temps. Le SANS Internet Storm Center surveille les principales plateformes diffusant des mises à jour, y compris les récentes publications de paquets d'Ubuntu.
Sources: Krebs on Security.