Deux failles PHP critiques, notées 9.2 en CVSS v4.0, seront corrigées le 21 octobre lors d'une version de sécurité d'urgence.

Le projet PHP prépare une mise à jour de sécurité exceptionnelle. En effet, elle doit sortir le 21 octobre à 14h00 UTC, hors du calendrier habituel. Elle vise deux failles PHP jugées critiques, surnommées PHP2Shell. Ainsi, l’équipe de sécurité leur a attribué un score de 9,2 sur l’échelle CVSS v4.0. Pourtant, elle n’a pas encore publié le moindre détail technique.

Une publication de sécurité hors calendrier

D’abord, les versions correctives de PHP suivent d’ordinaire un rythme prévisible. Ici, l’équipe a toutefois choisi de déroger à cette règle. Ce choix est rare. Par conséquent, il trahit un niveau d’urgence élevé.

Les mainteneurs ont également adopté une attitude très discrète. Ils ont annoncé l’heure de la publication et la gravité des défauts. En revanche, ils n’ont pas décrit les vulnérabilités. Aucun identifiant CVE n’est mentionné dans les informations disponibles à ce stade.

Cette discrétion est classique avant un correctif. Elle limite le risque que des attaquants exploitent les failles avant que les administrateurs puissent réagir. Cependant, elle laisse aussi les équipes techniques dans l’incertitude.

Ce que l’on sait des failles PHP

Les chercheurs de watchTowr apportent un éclairage important. Selon eux, les deux vulnérabilités permettent l’exécution de code à distance. Autrement dit, un attaquant pourrait lancer ses propres commandes sur un serveur vulnérable.

Ce type de défaut figure parmi les plus dangereux. En effet, il peut mener à la prise de contrôle complète d’un serveur web. Ensuite, l’attaquant peut voler des données, installer une porte dérobée ou rebondir vers d’autres systèmes.

Le score de 9,2 confirme cette gravité. Ainsi, il place ces deux défauts dans la catégorie critique de l’échelle CVSS v4.0.

Par ailleurs, une information rassure un peu : aucune exploitation n’a été signalée pour l’instant. Néanmoins, cette situation peut changer vite. Dès la publication du correctif, des chercheurs et des attaquants peuvent comparer le code avant et après la modification. Cette technique permet de déduire la nature de la faille. Elle conduit parfois à un exploit fonctionnel en quelques heures.

Quelles versions sont concernées ?

Le correctif ne couvrira que les quatre branches de PHP encore supportées. Il s’agit des versions 8.2, 8.3, 8.4 et 8.5. Les administrateurs concernés devront donc installer la dernière version de leur branche dès sa sortie.

Les branches plus anciennes posent un vrai problème. Elles ne recevront aucun correctif officiel. Par conséquent, les serveurs qui les utilisent resteront exposés si elles sont touchées. Les informations disponibles ne précisent pas l’étendue exacte des versions affectées. Il serait donc imprudent de supposer qu’une version ancienne est épargnée.

Cette situation rappelle l’importance du cycle de vie des logiciels. Un langage qui n’est plus maintenu ne reçoit plus de correctifs de sécurité. Ainsi, les entreprises qui reportent leurs migrations prennent un risque croissant.

Se préparer face aux failles PHP

Le correctif n’est pas encore disponible. Pourtant, les équipes peuvent déjà s’organiser. Voici les actions à envisager dès maintenant.

• Inventorier tous les serveurs et conteneurs qui exécutent PHP, y compris les environnements de test.
• Identifier la branche utilisée sur chaque système et repérer ceux qui tournent sur une version non supportée.
• Prévoir une fenêtre de maintenance pour déployer la mise à jour sans attendre.
• Surveiller les annonces officielles du projet PHP et les alertes de votre distribution.
• Renforcer la journalisation et la détection sur les applications exposées à Internet.

Il faut également penser aux images de conteneurs et aux hébergements mutualisés. Dans ces cas, la mise à jour dépend souvent d’un tiers. Il convient donc de vérifier auprès de votre hébergeur ou de votre éditeur quand il publiera les paquets corrigés.

Enfin, appliquez les principes habituels de défense en profondeur. Par exemple, limitez les droits du compte qui exécute PHP. Isolez également les services sensibles. Ces mesures ne remplacent pas le correctif. En revanche, elles réduisent l’impact d’une éventuelle compromission.

Ce qu’il faut retenir

• PHP publiera une version de sécurité d’urgence le 21 octobre à 14h00 UTC.
• Deux vulnérabilités critiques sont concernées, notées 9,2 sur l’échelle CVSS v4.0.
• Selon watchTowr, elles permettent l’exécution de code à distance.
• Seules les branches 8.2, 8.3, 8.4 et 8.5 recevront le correctif.
• Aucune exploitation n’a été signalée à ce jour.
• Les détails techniques restent secrets, mais ils pourraient apparaître rapidement après la publication.

La consigne est donc simple. Préparez la mise à jour, repérez les systèmes à risque et déployez le correctif dès qu’il sera disponible. En effet, le délai entre la publication et les premières attaques peut être très court.

Source : PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert