PHP2Shell : pourquoi la NSA recommande de déconnecter certains sites

EElias

Alors, selon CNBC, la NSA et le FBI avertissent que les vulnérabilités PHP2Shell pourraient permettre l’exécution de code à distance et exposer des données sensibles. La NSA recommande de retirer du web les systèmes qui ne peuvent pas être corrigés immédiatement. Le projet PHP a publié des versions corrigées, notamment PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Wired rapporte qu’AWS a repéré rétrospectivement, dans les données d’un serveur leurre, une tentative datée du 17 octobre, 4 jours avant la divulgation publique. AWS indique que PHP2Shell fait désormais l’objet d’une exploitation généralisée sur Internet. L’entreprise précise toutefois que l’analyse est en cours et que le succès des tentatives contre des systèmes réels n’est pas établi.

EElias

La portée potentielle est importante parce que PHP est utilisé par de nombreux sites, mais il faut manier les chiffres avec précision. Selon The New Stack, Wiz Research estime que PHP alimente environ 70 % des sites web mondiaux ; cela ne signifie pas que 70 % des sites sont confirmés vulnérables ou touchés par PHP2Shell. Les failles touchent le moteur du langage et ne sont donc pas propres à WordPress ou à une autre plateforme. WordPress indique que les administrateurs doivent corriger leurs serveurs et vérifier avec leur hébergeur que la protection est effective. Les versions anciennes compliquent l’opération : seules les versions PHP 8.2 et ultérieures sont encore prises en charge officiellement, tandis que certains distributeurs ou fournisseurs tiers peuvent corriger des versions plus anciennes. TechCrunch avance que plus de 33 millions de sites pourraient être concernés, sans présenter de méthode permettant de vérifier cette estimation. Radio-Canada rapporte que des utilisateurs ont constaté l’inaccessibilité de plusieurs sites, notamment des sites liés aux gouvernements fédéral et provincial, dont celui de la SAQ, pour des problèmes associés à la faille PHP. Ces exemples de problèmes d’accès ne permettent pas de conclure à une compromission.

EElias

Il faut séparer trois choses : la gravité technique, l’existence de tentatives et la compromission effective d’un site précis. AWS a repéré rétrospectivement, dans les données d’un serveur leurre, une tentative d’exploitation de PHP2Shell datée du 17 octobre, 4 jours avant la divulgation publique, rapporte Wired. L’entreprise indique que la faille est désormais largement exploitée sur Internet et que ses leurres ont enregistré plusieurs tentatives dans les heures précédant la divulgation, venant d’adresses anonymisées et semblant poursuivre différents objectifs. Mais AWS n’a pas établi si ces tentatives auraient réussi contre des systèmes réels, ni comment l’acteur à l’origine de la tentative précoce avait obtenu des informations sur la faille. Ces observations confirment l’existence de tentatives, pas une compromission précise ni l’ampleur des dégâts. La facilité d’exploitation n’est pas établie de façon concordante : Axios évoque une exploitation potentiellement facile, tandis que Wiz indique que sa démonstration a exigé une chaîne d’étapes exceptionnellement complexe. Cela ne rend pas le risque anodin, mais rappelle qu’une démonstration dans une configuration donnée ne décrit pas automatiquement tous les serveurs.

EElias

L’intelligence artificielle pourrait jouer un rôle des deux côtés de la sécurité. Google indique que Wiz a utilisé des modèles d’IA pour découvrir et examiner les vulnérabilités, tandis que Gemini a contribué à évaluer les failles, tester des attaques potentielles et vérifier les correctifs. The New Stack rapporte que Wiz a démontré une exécution de code sans authentification sur WordPress, Drupal et Joomla, ainsi que l’exposition de la mémoire du serveur. Wiz estime que des modèles pourraient adapter automatiquement des exploits à différentes versions, configurations et dispositions de mémoire, ce qui pourrait réduire les obstacles à la préparation d’attaques à grande échelle. OpenAI estime également que des capacités d’IA utiles à la découverte de failles pourraient aider des attaquants à élaborer plus rapidement des outils et des exploits. Cela ne signifie pas que l’IA a lancé une attaque dans ce dossier, ni que chaque modèle sait produire un exploit opérationnel. La découverte a impliqué des chercheurs humains, des équipes de sécurité et une divulgation coordonnée avec les mainteneurs PHP, des fournisseurs et des agences. The Decoder rapporte que la coordination s’est déroulée sur 2 mois et 5 phases, avec les développeurs PHP, Wiz, Cloudflare et des agences américaines.

EElias

Pour les administrateurs, le premier réflexe est de vérifier si leur serveur utilise une version de PHP corrigée, puis d’appliquer la mise à jour appropriée. Si la mise à jour ne peut pas être faite immédiatement, la NSA recommande de retirer temporairement le système concerné du web. WordPress indique que les administrateurs doivent corriger leurs serveurs et vérifier avec leur hébergeur que la protection est effective. AWS indique que PHP2Shell fait désormais l’objet d’une exploitation généralisée sur Internet, après avoir repéré une tentative datée du 17 octobre, avant la divulgation publique, mais l’entreprise n’a pas établi si les tentatives observées auraient réussi contre des systèmes réels. La leçon plus large, c’est que l’intelligence artificielle peut accélérer l’analyse des failles et aider des acteurs moins expérimentés à développer des exploits ; AWS estime donc que la divulgation coordonnée doit évoluer et s’accélérer. Dans ce dossier, des correctifs existent, et la NSA recommande la mise hors ligne si les systèmes concernés ne peuvent pas être corrigés immédiatement. Le choix sûr reste donc la mise à jour ; quand elle est impossible immédiatement, la déconnexion temporaire constitue la mesure d’urgence recommandée. Le sujet n’est pas de céder à la panique, mais de traiter rapidement une faille présente dans un composant partagé par une large partie du web.