La PHP Foundation admet un « échec structurel » ayant retardé une mise à jour de sécurité critique

La Fondation PHP a reconnu que l’indécision et le manque de ressources avaient retardé la correction d’une faille de sécurité critique identifiée pour la première fois en 2024, qualifiant cette réponse au point mort d’« échec structurel ». 

Des agences gouvernementales et d’autres organisations du monde entier ont mis des sites web hors ligne mercredi par précaution, tandis que PHP publiait des correctifs d’urgence pour deux vulnérabilités critiques apparentées. Ces failles pourraient permettre à des attaquants non authentifiés d’exécuter du code sur les serveurs concernés sans se connecter. 

PHP est un langage de programmation largement utilisé pour faire fonctionner des sites web et des applications web, notamment des systèmes de gestion de contenu. 

Dans un article de blog publié après la diffusion du correctif, la fondation a expliqué que ses développeurs avaient découvert les premiers signes de la vulnérabilité en 2024, mais qu’ils avaient eu du mal à trouver une solution sans perturber le vaste écosystème de logiciels utilisant PHP.

« Combiné à l’absence de voie connue vers l’exécution de code à distance et au fait que la petite équipe de développeurs principaux disposant des connaissances approfondies nécessaires du moteur était accaparée par de nombreuses responsabilités, ce processus décisionnel a fait stagner puis reprendre à plusieurs reprises le travail sur un correctif pendant des mois », a déclaré la fondation.

« Nous ne prétendrons pas le contraire : le retard était un échec structurel, causé à la fois par le processus décisionnel de l’équipe de sécurité et par son manque de ressources. »

La fondation a de nouveau été informée de la vulnérabilité le 11 août, après que la société de sécurité Calif et OpenAI ont signalé indépendamment le même problème sous-jacent, Calif ayant démontré une exécution de code à distance inconditionnelle, ce qui en a fait une priorité de sécurité majeure. 

Des sites web hors ligne dans le contexte de l’alerte de sécurité PHP

La perturbation s’est étendue au monde entier, les développeurs déconnectant des sites web en préparation de l’installation des correctifs d’urgence.

Les Pays-Bas ont fermé leur service d’identité numérique, et le Centre national de cybersécurité du pays a également mis son site web hors ligne. 

Le fournisseur informatique public finlandais Valtori a déconnecté les services web publics du gouvernement, tandis que le ministère français de l’Intérieur a temporairement mis hors ligne les sites web des préfectures. Le fournisseur informatique fédéral allemand ITZBund a également désactivé plusieurs sites web, selon Reuters. 

En Australie, l’Australian Signals Directorate a reconnu que son site consacré à la cybersécurité, cyber.gov.au, figurait parmi les sites gouvernementaux touchés par le problème de PHP.

La Première ministre japonaise Sanae Takaichi s’est rendue sur X pour exhorter les opérateurs de sites web à se préparer à appliquer le correctif aussi rapidement que possible. Dans une publication, elle a déclaré que la suspension temporaire des fonctions des sites web pourrait réduire le risque si le correctif ne pouvait pas être appliqué immédiatement. 

La Wikimedia Foundation, qui gère Wikipédia, a déclaré avoir mis certains services de soutien hors ligne par précaution, notamment Toolforge et Cloud VPS, qui hébergent des outils et des projets utilisés par des développeurs bénévoles, ce qui a entraîné la mise hors ligne de certaines parties de Wikipédia mercredi. 

La société de sécurité blockchain SlowMist a indiqué que son service MistEye avait analysé l’utilisation de PHP dans l’ensemble du secteur des cryptomonnaies, appelant les plateformes d’échange, les plateformes DeFi et les fournisseurs de portefeuille crypto à vérifier leur exposition et à effectuer une mise à niveau. Il a identifié 793 domaines présentant des signatures PHP directes parmi les 1 488 domaines évalués.

Intersect, une organisation de membres qui soutient le développement et la gouvernance de la blockchain Cardano, a déclaré avoir temporairement mis hors ligne son espace Membres pendant l’évaluation de son exposition potentielle. La page était toujours hors ligne au moment de la rédaction. 

À lire aussi : Les géants de la technologie se précipitent pour bloquer 8 certificats eMudhra susceptibles d’activer de faux sites 

Le directeur de la sécurité de Coinbase, Jeff Lunglhofer, a déclaré que l’entreprise n’avait trouvé aucune preuve de présence PHP exposée. 

« Chaque fois que nous entendons parler de vulnérabilités de ce type, nous effectuons automatiquement une analyse complète pour nous assurer que tout est aussi sûr que possible. Nous travaillons également avec nos fournisseurs tiers afin d’obtenir des garanties supplémentaires. »

La société d’infrastructure pour actifs numériques BitGo a également déclaré que sa plateforme n’avait pas été affectée par la vulnérabilité PHP. 

Entre-temps, le cofondateur de Binance, Changpeng Zhao, a averti mercredi les internautes de faire preuve d’une « prudence accrue » lorsqu’ils visiteraient un site web dans les prochains jours, certains administrateurs pouvant ne pas avoir installé les correctifs de sécurité les plus récents. 

OpenAI a publié une compétence Codex destinée à aider les opérateurs de sites web à vérifier la présence de versions de PHP potentiellement vulnérables et à identifier les mises à jour applicables, et qui est accessible via GitHub. 

L’équipe de sécurité de PHP a déclaré n’avoir identifié aucun exploit fonctionnel au moment de la divulgation publique. 

Magazine : 5 alternatives à Ledger pour stocker vos bitcoins