PHP : les trois petites lettres qui sèment le chaos sur le web
par Terrence O'BrienDeux vulnérabilités découvertes dans le langage de programmation PHP mettent d'immenses pans d'Internet en danger.
Selon certaines estimations, jusqu'à 70 pour cent des sites web utilisent PHP d'une manière ou d'une autre. Il alimente Wikipédia, WordPress, Drupal et une multitude d'autres sites et plateformes populaires, dont DeviantArt et 4Chan, qui ont été temporairement fermés après la divulgation des vulnérabilités. Même les gouvernements n'ont pas été épargnés.
Mais ce n'est pas aussi simple que de mettre à jour quelques serveurs. La vulnérabilité existe dans toutes les versions de PHP datant d'environ 20 ans, dont beaucoup ne sont plus prises en charge. Cela signifie que certains sites et services plus anciens qui ne sont plus activement maintenus sont menacés, ne leur laissant guère d'autre option que de fermer définitivement.
Voici tous les derniers développements concernant ce que la société de sécurité Wiz a qualifié de vulnérabilités « parmi les plus graves jamais découvertes … dans l'histoire des logiciels ».
- 23 oct.Un homme a pour ainsi dire sauvé Internet de la PHPocalypse.
Charlie Warzel de The Atlantic a interviewé Ondřej Surý, l'homme quasi seul responsable de la préparation du correctif pour les vulnérabilitésde cette semaine. C'est une conversation fascinante, depuis la nonchalance étrange de Surý face à la sauvegarde du web jusqu'à son inquiétude que des entreprises à but lucratif exploitent l'open source. Mais il espère que cette découverte assistée par l'IA mènera à un changement :
… Tout va très vite maintenant, et cela pèse sur les personnes qui défendent tout cela. En même temps, c'est peut-être le tournant où nous commencerons vraiment à nous en préoccuper … Je me trompe peut-être, mais je suis optimiste : les gens finiront par réaliser que nous ne pouvons pas continuer ainsi indéfiniment. C'est une catastrophe qui attendait de se produire depuis très, très longtemps.
- 22 oct.
Les désastreuses vulnérabilités de PHP ont été exploitées des jours avant le correctif
Photo par Amelia Holowaty Krales / The VergeDes hackers ont tenté d'exploiter les failles PHP touchant des sites à travers le web plusieurs jours avant qu'elles ne soient corrigées, selon un rapport d'Amazon Threat Intelligence. CJ Moses, directeur de la sécurité de l'information d'Amazon, écrit que l'équipe de sécurité de l'entreprise a détecté une tentative d'exploitation PHP2Shell le 17 octobre grâce à un système de surveillance conçu pour appâter les hackers, comme rapporté précédemment par Wired et Bleeping Computer.
Mercredi, les sites web se sont empressés d'appliquer un correctif pour deux vulnérabilités de sécurité critiques affectant PHP, un langage de programmation utilisé par une grande partie d'internet, y compris les sites WordPress. Les failles — CVE-2026-109618 et CVE-2026-109619 — pourraient permettre à des hackers d'exécuter du code malveillant à distance sur des appareils vulnérables. Elizabeth Barron, directrice exécutive de la PHP Foundation, déclare à The Verge qu'« à notre connaissance, il n'y a eu aucune tentative réussie d'exécution de code à distance », mais souligne que la mise à jour des systèmes affectés est « impérative ».
Lire l'article > - 22 octL'Internet Archive a été brièvement forcée hors ligne à cause de PHP.
La liste des sites qui ont dû être fermés, au moins temporairement, en raison de la vulnérabilité PHP récemment divulguée continue de s'allonger. Heureusement, l'équipe des opérations de l'Internet Archive a rapidement tout corrigé, sécurisé et remis en ligne. Le bibliothécaire numérique Brewster Kahle a publié ses remerciements sur Mastodon hier soir : « Vu la gravité, il y a des héros dans un grand grand nombre d'organisations depuis hier soir. Cela aurait pu être plus de lumières, plus de feux de circulation, de vrais problèmes. »
- 22 octDeux jeux mobiles japonais à l'ancienne ferment à cause de l'exploit PHP.
World Quest et Save My Demonic World ont fonctionné pendant plus d'une décennie, mais ils sont construits sur des technologies plus anciennes que les développeurs disent ne pas pouvoir être mises à jour pour corriger l'exploit PHP apocalyptique divulgué cette semaine. Comme la vulnérabilité affecte près de 20 ans de PHP, de grands pans de l'histoire d'internet risquent d'être perdus. Selon Kotaku:
, de nombreux anciens sites web et services qui ne sont plus activement mis à jour (ou qui sont peut-être tout simplement trop anciens pour recevoir la mise à jour, comme ce fut le cas pour ces deux jeux) risquent désormais de passer définitivement hors ligne. Un tel événement verrouillerait des pans de l'ancien internet hors de la vue du public, y compris des éléments qui commençaient déjà à se dégrader et à devenir inaccessibles.
- 22 octL'exploit PHP2Shell a durement frappé Cloudflare.
Le PDG Matthew Prince déclare que l'entreprise a observé des milliers de tentatives d'exploitation de la vulnérabilité PHP sur le réseau Cloudflare dans les 10 heures précédant l' annonce publiquedu problème. Ce nombre a bondi à « des centaines de milliers » d'attaques dans les 2 heures suivant la divulgation, et à « des millions » hier soir. Aïe.
Matthew Prince 🌥 (@eastdakota) sur X[X (anciennement Twitter)]
- 21 octobre
Terrence O'Brien et Jay Peters
PHP : les trois lettres qui ont fait tomber des sites partout sur internet aujourd'hui
Photo par Amelia Holowaty Krales / The VergeDeux bugs découverts avec l'IA sont à l'origine des problèmes majeurs d'aujourd'hui pour 4chan, DeviantArt, Wikipedia, et le blog du bar du coin qui publie des photos des chiens de ses clients. Les « vulnérabilités critiques » ont été découvertes dans le langage de programmation PHP, qui sous-tend une grande partie d'internet, y compris tout site construit sur WordPress. Mais c'est bien plus vaste que cela. Certaines agences gouvernementales néerlandaises et finlandaises ont mis leurs sites hors ligne par précaution. Le compte NSA Cybersecurity sur X a recommandé que les organisations mettent leurs systèmes hors ligne si « une mise à jour immédiate n'est pas réalisable », tout comme le National Cyber Security Centerdu Royaume-Uni. Même Pokémon Home et Pokémon Champions ont été mis hors ligne, rapporte Kotaku.
La vulnérabilité n'est pas exactement nouvelle. Elle est présente dans PHP depuis environ 20 ans, mais l'exploiter « nécessitait une chaîne d'étapes exceptionnellement complexe, à la limite de ce que des chercheurs humains pouvaient pratiquement accomplir », selon la société de sécurité Wiz. Cependant, les puissants modèles d'IA ont rendu beaucoup plus facile la transformation de ce genre de bug obscur en vulnérabilités dangereuses.
Lire l'article > - 21 oct.GPT‑5.6 Sol a été utilisé pour identifier une faille PHP critique.
OpenAI affirme qu'un chercheur en sécurité de Calif a utilisé GPT-5.6 Sol pour identifier des exploits PHP avant les attaquants, et a partagé un outil qui permet aux développeurs de vérifier s'ils utilisent une version potentiellement vulnérable de PHP nécessitant un correctif. Ami Luttwak, cofondateur de l'équipe de sécurité Wiz de Google, qui a également contribué à identifier l'exploit PHP2Shell, a déclaré au Wall Street Journal qu'il s'agissait de « la vulnérabilité IA la plus grave jamais découverte ».
Patch the Planet : coordination mondiale de la réponse tandis que des agents découvrent des vulnérabilités critiques[OpenAI]
- 21 oct.
Une vulnérabilité PHP critique pourrait faire tomber des sites web aujourd'hui
Ce problème PHP semble être un problème vraiment énorme. Illustration de Carlo Cadenas / The VergeDes correctifs de sécurité pour le langage de programmation PHP, largement utilisé pour créer des sites web et des applications web, ont été déployés aujourd'hui, dans le but de corriger deux vulnérabilités critiques qui pourraient semer le chaos sur internet si elles n'étaient pas traitées. Dans un avis publié mardi, les développeurs de PHP ont indiqué que les vulnérabilités présentent un indice de gravité de 9.2 sur 10 possible, certaines agences de cybersécurité encourageant les sites web à temporairement déconnecter leurs systèmes s'ils ne peuvent pas appliquer le correctif immédiatement.
Le correctif de sécurité a été publié aujourd'hui à 10 heure ET, et les utilisateurs de PHP sont invités à « mettre à niveau dès que la version est disponible ». Selon la société de cybersécurité watchTowr, les vulnérabilités sont des exploits d'exécution de code à distance qui toucheraient, selon les rapports, toutes les versions de PHP à partir de PHP 5, et pourraient permettre aux attaquants d'exécuter leur propre code sur les serveurs affectés, leur permettant de modifier malicieusement des sites web, de voler des données, et plus encore.
Lire l'article >
Les plus populaires
Les plus populaires- Google dit maintenant qu'il pourrait utiliser vos données Gmail et Google Photos pour cibler les publicités
- Les premiers iPhone Duos cassés sont arrivés
- La première directrice des opérations de Xbox quitte l'entreprise après seulement quelques mois
- Les gens font du vibe coding pour obtenir de meilleures télévisions
- Non, l'iPhone Duo n'est pas un petit téléphone
Ceci est le titre de la publicité native