PHP2Shell : pourquoi la NSA recommande de déconnecter certains sites

EElias

Alors, TechCrunch indique que deux failles critiques ont été découvertes dans PHP, le langage qui fait fonctionner une grande quantité de sites web. La NSA recommande de retirer du web les sites qui ne peuvent pas être corrigés immédiatement, car ces failles pourraient permettre à un attaquant d’accéder au système de fichiers du serveur ou à une base de données utilisée par l’application. Il ne s’agit donc pas seulement d’un défaut dans un site construit avec WordPress : le problème se trouve dans l’interpréteur PHP lui-même, le composant qui exécute le code des applications. Le projet PHP a publié des versions corrigées, notamment PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. OpenAI affirme que les chercheurs auraient découvert les vulnérabilités avant les pirates et qu’aucune exploitation dans la nature n’aurait été signalée au moment de la publication. Cette précision situe le risque à cet instant-là ; elle ne garantit évidemment pas qu’aucune tentative ne puisse apparaître ensuite. L’enjeu, pour les administrateurs, est donc d’agir vite sans confondre une faille très sérieuse avec la preuve que chaque site a déjà été attaqué.

EElias

Alors, pour comprendre le mécanisme, les chercheurs décrivent deux problèmes liés à la mémoire et au traitement des requêtes dans PHP. Dans l’un des cas, une erreur de mémoire peut interrompre l’initialisation d’une requête ; le nettoyage qui suit risque alors de traiter des données internes comme si l’initialisation avait abouti. Dans l’autre, un pointeur vers une mémoire libérée pourrait être réutilisé par une requête ultérieure traitée par le même processus. AlphaSignal indique que Wiz a démontré une exécution de code à distance sans authentification dans les configurations testées ; la portée dépend toutefois de la configuration du serveur et de ses processus. D’après Wired, la PHP Foundation estime qu’il n’existerait pas de mesure d’atténuation complète et que la mise à jour serait la seule option sûre. Les versions PHP 8.2 et ultérieures sont encore prises en charge officiellement ; certains distributeurs et fournisseurs tiers proposent aussi des correctifs pour des versions anciennes, selon Wired.

EElias

La portée potentielle est importante parce que PHP est utilisé par de nombreux sites, mais il faut manier les chiffres avec précision. Wiz estime que PHP serait utilisé par environ 70 % des sites web dont le langage côté serveur est connu ; cela ne signifie pas que 70 % des sites sont confirmés vulnérables, ni qu’ils sont tous accessibles de la même manière. Les failles touchent le moteur du langage et ne sont donc pas propres à WordPress ou à une autre plateforme. WordPress indique que les administrateurs doivent corriger le serveur et vérifier avec leur hébergeur que la protection est effective. Les versions anciennes compliquent l’opération : selon la PHP Foundation, les versions PHP 8.2 et ultérieures sont encore prises en charge officiellement, tandis que certains distributeurs ou fournisseurs tiers peuvent corriger des versions plus anciennes. TechCrunch avance que plus de 33 millions de sites pourraient être concernés, sans présenter de méthode permettant de vérifier cette estimation. Certaines organisations ont mis des sites hors ligne par précaution avant la disponibilité des mises à jour, et Axios rapporte que des services de Wikipédia et de 4chan auraient été interrompus le temps d’appliquer les correctifs. Ces exemples montrent que des administrateurs ont choisi une interruption temporaire, sans permettre de conclure que chaque panne signalée correspondait à une compromission.

EElias

Il faut séparer trois choses : la gravité technique, l’existence de tentatives et la compromission effective d’un site précis. OpenAI indique qu’aucune exploitation dans la nature n’aurait été signalée au moment de la publication. Mais Cloudflare aurait signalé des attaques précoces avant la publication des vulnérabilités et des correctifs, selon Wired. Ces éléments ne permettent pas à eux seuls de conclure qu’un site particulier a été piraté, ni de mesurer l’ampleur des dégâts. Ils illustrent toutefois les préoccupations exprimées par les spécialistes face à la période qui suit la divulgation d’une faille. Les avis sur la facilité d’exploitation ne sont pas entièrement concordants non plus : Axios indique que des pirates pourraient exploiter les failles facilement, tandis que Wiz souligne que sa démonstration reposait sur une chaîne d’étapes exceptionnellement complexe. Cela ne rend pas le risque anodin, mais rappelle qu’une démonstration dans une configuration donnée ne décrit pas automatiquement tous les serveurs. Un consultant en sécurité a également évoqué le risque d’un logiciel malveillant capable de se propager entre systèmes ; il s’agit d’un scénario, et non d’une propagation confirmée, selon Wired.

EElias

L’intelligence artificielle apparaît ici des deux côtés de la sécurité. Des chercheurs de Calif, dans le cadre d’un programme d’OpenAI, ont utilisé un modèle pour étudier PHP ; Wiz a mené des recherches indépendantes avec des modèles d’IA et sa propre plateforme, puis a démontré des attaques sans authentification contre des installations WordPress et Drupal, rapporte Clubic. L’IA a aidé les chercheurs à relier plusieurs faiblesses et à construire des scénarios d’exploitation complexes, selon Wiz. Wiz estime que des modèles pourraient adapter automatiquement des exploits à différentes versions, configurations et dispositions de mémoire, ce qui pourrait réduire les obstacles à la préparation d’attaques à grande échelle. OpenAI reconnaît aussi que des capacités utiles à la découverte de failles pourraient aider des attaquants à élaborer plus rapidement des outils et des exploits. Cela ne signifie pas que l’IA a lancé une attaque dans ce dossier, ni que chaque modèle sait produire un exploit opérationnel. La découverte a impliqué des chercheurs humains, des équipes de sécurité et une divulgation coordonnée avec les mainteneurs PHP, des fournisseurs et des agences. La coordination de la réponse s’est déroulée sur 2 mois et 5 phases, avec les développeurs PHP, Wiz, Cloudflare et des agences américaines, selon The Decoder.

EElias

Pour les administrateurs, le premier réflexe est de vérifier si leur serveur utilise une version de PHP corrigée, puis d’appliquer la mise à jour appropriée. Si la mise à jour ne peut pas être faite sans délai, la NSA recommande de retirer temporairement le site du web plutôt que de le laisser exposé. Les responsables qui passent par un hébergeur doivent lui demander explicitement si le serveur a été corrigé et comment la protection a été vérifiée. WordPress insiste sur ce point : mettre à jour le système de gestion de contenu ne suffit pas nécessairement, puisque la vulnérabilité se situe dans PHP, au niveau du serveur. Des sites ont été mis hors ligne par précaution ou pendant l’application des correctifs, selon Wired et Axios. Et il faut garder en tête que l’absence de signalement d’exploitation à un moment donné n’est pas une garantie durable. La leçon plus large, c’est que l’intelligence artificielle peut aider à repérer des faiblesses difficiles à démontrer, mais qu’elle pourrait aussi rendre leur adaptation plus accessible aux attaquants. Dans ce dossier, des correctifs existent, et la PHP Foundation indique qu’il n’y aurait pas de solution de contournement complète. Le choix sûr reste donc la mise à jour ; quand elle est impossible immédiatement, la déconnexion temporaire constitue la mesure d’urgence recommandée. Le sujet n’est pas de céder à la panique, mais de traiter rapidement une faille présente dans un composant partagé par une large partie du web.