La plupart des gens n’ont jamais entendu parler de PHP, mais le langage de programmation est un composant clé d’environ 70 % des sites Web dont le langage de programmation côté serveur est connu – et deux vulnérabilités critiques ont mis en danger les systèmes non corrigés après la diffusion prématurée de détails techniques mardi.
L’ampleur du risque est stupéfiante. Selon VirusTotal, un service de cybersécurité en ligne qui permet d’évaluer si les fichiers, sites Web, domaines et adresses IP sont associés à des logiciels malveillants ou à d’autres menaces, 5,1 millions d’adresses IP exécutent PHP, dont environ 758 000 versions en fin de vie.
« Il ne s’agit pas de systèmes vulnérables confirmés, mais les chiffres mettent en évidence l’ampleur potentielle de l’exposition, en particulier pour les anciennes versions qui pourraient ne jamais recevoir de correctifs officiels », a écrit la société de sécurité logicielle Echo dans un article sur LinkedIn.
Le risque que des pirates informatiques exploitent les vulnérabilités pour s’emparer de sites Web est si élevé que la NSA recommande aux organisations utilisant PHP de mettre hors ligne les systèmes concernés si une mise à jour immédiate n’est pas réalisable, et la Finlande, les Pays-Bas et la France auraient commencé à débrancher leurs sites gouvernementaux.
Des correctifs pour les deux vulnérabilités PHP — CVE-2026-109618 et CVE-2026-109619 — ont été publiés mercredi. Echo a expliqué que la publication était prévue pour le 22 octobre, mais que des informations techniques sont apparues sur le site Web Hacker News le 20 octobre. Des captures d’écran ont commencé à circuler en ligne et une vidéo montrant comment exploiter les vulnérabilités a été publiée mais rapidement supprimée, a-t-il ajouté.
« Deux failles critiques d’exécution de code à distance dans PHP, toutes deux notées 9,2, sont à peu près aussi graves que pour le Web », a déclaré Eylam Milner, PDG et cofondateur d’Echo, à TechNewsWorld.
C’est ce qui se produit lorsque l’IA découvre une faille cachée depuis des années, a-t-il noté.
« Ce dont personne ne s’inquiétait hier est devenu du jour au lendemain une urgence », a-t-il déclaré. « Dans ce cas, les détails de l’exploitation circulaient avant que les défenseurs ne disposent de correctifs, les attaquants avaient donc une longueur d’avance. »
« L’équipe PHP a fait du bon travail dans une situation horrible », a-t-il ajouté. « Le problème pour la plupart des entreprises est qu’elles ne savent pas où elles exécutent PHP. C’est dans les images de base et dans les composants qui regroupent leur propre moteur d’exécution, et une grande partie se trouve sur des versions antérieures à 8.2 qui sont en fin de vie. «
Quand la mise hors ligne de sites Web est justifiée
Madelein van der Hout, analyste senior chez Forrester Research, une société nationale de recherche technologique dont le siège est à Cambridge, dans le Massachusetts, a expliqué que ce qui rend ces vulnérabilités importantes est leur emplacement.
« PHP sous-tend les sites Web et les applications de nombreuses organisations et de leurs fournisseurs. Il ne suffit donc pas de vérifier le site Web de l’entreprise », a-t-elle déclaré à TechNewsWorld. « Les organisations doivent déterminer où elles sont exposées et donner la priorité aux systèmes accessibles sur Internet. »
Elle a soutenu la déconnexion des sites Web pour résoudre le problème. « Mettre un site Web hors ligne ne signifie pas qu’il a été piraté », a-t-elle déclaré. « Lorsqu’une organisation ne peut pas encore appliquer de correctif ou protéger adéquatement un système potentiellement vulnérable, le mettre temporairement hors ligne peut représenter une décision à risque proportionné : accepter une courte perte de disponibilité plutôt que de risquer une compromission potentiellement beaucoup plus grave.
Elle a également informé les organisations qu’une vulnérabilité critique, une tentative d’attaque et une compromission réussie sont trois choses différentes. « Les organisations devraient réagir de toute urgence à une exposition potentielle sans traiter chaque site Web vulnérable ou hors ligne comme une preuve d’une violation », a-t-elle déclaré. « Cette distinction est importante, particulièrement alors que la situation continue d’évoluer. »
« Il s’agit d’un test de résilience opérationnelle, pas seulement de gestion des correctifs », a-t-elle ajouté. « Les organisations doivent décider si elles peuvent maintenir leurs services en sécurité pendant qu’elles répondent – et qui a le pouvoir de les mettre hors ligne si elles ne le peuvent pas. Un arrêt temporaire peut être la bonne décision, mais il montre comment une vulnérabilité logicielle peut devenir une interruption de l’activité même sans violation confirmée.
Combler la faille, rechercher les intrus
La publication des correctifs PHP est une étape importante, mais les organisations ne doivent pas confondre les correctifs avec une preuve que leurs systèmes sont propres, a noté Matt Hull, vice-président de la cyberintelligence et de la réponse au groupe NCC, un cabinet de conseil mondial en cybersécurité.
« Nous voyons maintenant des rapports faisant état d’activités d’exploitation, ce qui rend particulièrement important le délai entre la découverte de ces vulnérabilités et la mise à jour des systèmes », a-t-il déclaré à TechNewsWorld. « Il existe une réelle possibilité que les systèmes vulnérables aient déjà été compromis, notamment par la création de portes dérobées. »
« L’impact potentiel est grave », a-t-il ajouté. « Une exploitation réussie pourrait fournir un accès au shell à distance et potentiellement permettre à un attaquant de se déplacer latéralement vers d’autres parties de l’environnement d’une organisation. Ceux qui gèrent leurs propres systèmes PHP, en particulier les déploiements accessibles sur Internet, doivent donc comprendre non seulement s’ils ont appliqué des correctifs, mais aussi s’il y a des signes indiquant qu’un attaquant a obtenu l’accès avant eux.
Benny Lakunishok, co-fondateur et PDG de Zero Networks, un fournisseur de réseaux de microsegmentation automatisée et de confiance zéro basé à Tel Aviv, en Israël, a expliqué que les vulnérabilités PHP pourraient permettre aux attaquants de contrôler les serveurs exposés sans même avoir besoin d’un mot de passe.
« Au cours des prochaines 48 heures, je m’attends à une course entre les organisations déployant des correctifs et les attaquants tentant d’exploiter les systèmes qui restent vulnérables », a-t-il déclaré à TechNewsWorld. « L’IA pourrait rendre cette course encore plus rapide en aidant les attaquants à développer et à étendre leurs exploits. »
« Le véritable danger ne réside pas seulement dans le compromis initial », a-t-il ajouté. « C’est ce que les attaquants peuvent ensuite atteindre : les bases de données, les informations d’identification, les applications internes et, à terme, le reste de l’entreprise. »
« Personne n’a jamais battu un attaquant », a-t-il poursuivi. « Nous devons arrêter de considérer la remédiation comme la solution complète et commencer à penser à la compensation. Corriger la vulnérabilité, mais aussi déployer des contrôles qui empêchent un serveur compromis de devenir une catastrophe à l’échelle de l’entreprise. »
Nuances de saignement de cœur
Ramy Rahman, ingénieur principal de solutions chez ArmorCode, une société de gestion des vulnérabilités basée à Palo Alto, en Californie, a comparé l’impact potentiel des vulnérabilités PHP à Heartbleed, qui a touché environ 4,5 millions de personnes et a coûté plus de 500 millions de dollars pour l’atténuer.
« Il est trop tôt pour dire si l’impact réel sera comparable », a-t-il déclaré à TechNewsWorld. « Ce qui est différent aujourd’hui, c’est que l’IA peut aider les attaquants à se déplacer plus rapidement, laissant ainsi aux défenseurs moins de temps pour appliquer les correctifs. »
« L’IA facilite l’examen de grandes quantités de code et revisite les failles auparavant considérées comme trop difficiles à exploiter », a-t-il déclaré. « Cela aide également les attaquants à procéder à l’ingénierie inverse des correctifs, réduisant ainsi le délai entre un correctif devenu public et un exploit devenu disponible. »
« Des failles que nous pensions autrefois impossibles à exploiter sont de nouveau sur la table », a-t-il poursuivi. « Les risques sous-jacents ne sont pas nouveaux, mais leur exploitation devient plus facile et accessible à un plus grand nombre de personnes. Nous devons revoir les anciennes hypothèses et accélérer l’application des correctifs. »
Shane Fry, directeur de la technologie chez RunSafe Security, une société de sécurité logicielle basée à McLean, en Virginie, a ajouté qu’historiquement, transformer un bug complexe de sécurité de la mémoire en une attaque fiable nécessitait une expertise et du temps considérables, des tests répétés et une compréhension détaillée du logiciel vulnérable. « L’IA réduit considérablement cet effort », a-t-il déclaré à TechNewsWorld.
« Nous ne pouvons plus supposer qu’une vulnérabilité est relativement sûre simplement parce que son exploitation semble trop difficile », a-t-il déclaré. « Les organisations doivent renforcer leurs logiciels au moment de l’exécution afin que les attaquants ne puissent pas transformer de manière fiable la corruption de la mémoire en contrôle d’un système. »
