PHP corrige en avance un bug vieux de 14 ans après une fuite

Les responsables de PHP ont publié mercredi, un jour plus tôt, des correctifs d'urgence pour deux vulnérabilités critiques après la fuite de détails en ligne. Les vulnérabilités permettent aux attaquants de compromettre les serveurs exécutant PHP, qui alimente environ 70 % des sites utilisant un langage côté serveur connu.

La divulgation coordonnée était prévue pour le 22 octobre, a déclaré Greg Brockman, président d'OpenAI. Des détails ont commencé à fuir avant cette date, ce qui a poussé les mainteneurs de PHP à avancer la date de publication au 21 octobre.

« Je suis reconnaissant que la coalition ait eu deux mois complets pour se préparer », a déclaré Brockman. Il a ajouté qu'une fuite bien avant que le correctif ne soit prêt « aurait eu un impact très important ».

Les vulnérabilités ont été rendues publiques avant la sortie du correctif, a indiqué Joviane Jardim, chercheur senior en sécurité chez Detectify. Il a précisé que les attaquants et les défenseurs ont commencé leurs actions simultanément.

Deux failles notées 9.2 sur 10 permettent l'exécution de code à distance

Les deux bugs correspondent aux CVE-2026-109618 et CVE-2026-109619, toutes deux avec un score de 9,2 sur 10. Les deux vulnérabilités PHP sont classées comme critiques et permettent l'exécution de code à distance sur les serveurs non corrigés.

Ces bugs sont appelés « PHP2Shell ». La faille résidait dans PHP pendant 14 ans, a déclaré Brockman.

Une version limitée est sortie en 2024 mais « n'a pas été considérée comme significative à l'époque », a-t-il ajouté.

L'alerte a été émise mardi soir par l'équipe de sécurité PHP. Les correctifs ont commencé à être déployés après 10 heures, heure de l'Est, mercredi.

La Finlande, les Pays-Bas et la France mettent hors ligne les sites web gouvernementaux

Les administrateurs sont intervenus. Des centaines de sites ont été mis hors ligne mercredi.

La Finlande, les Pays-Bas et la France ont fermé les sites web gouvernementaux par mesure de précaution.

L'UE, les États-Unis, l'Allemagne, le Japon, l'Australie et le Royaume-Uni ont également émis des alertes locales. Nintendo et d'autres organisations importantes ont mis leurs services hors ligne pour appliquer les correctifs.

Cloudflare constate déjà des attaques et a déployé des atténuations provisoires auprès de certains clients, a déclaré le CTO Dane Knecht. Jake Knott, responsable du renseignement sur les menaces chez watchTowr, a indiqué que son équipe suit l'exploitation en conditions réelles à l'aide d'outils de preuve de concept générés par IA.

Ces efforts n'ont pas encore porté leurs fruits, a déclaré Knott, mais il ne s'attend pas à ce que cela dure.

OpenAI a indiqué que ses modèles ont détecté les bugs en premier. La société de sécurité Calif a utilisé GPT-5.6 Sol dans le cadre du programme Patch the Planet d'OpenAI et a découvert une version en août.

Brockman a indiqué que l'équipe d'OpenAI elle-même avait découvert une version complète en septembre. Wiz a détecté et signalé indépendamment ces deux vulnérabilités.

OpenAI a passé deux mois à diriger une coalition de responsables, de chercheurs et de prestataires de sécurité, dont Wiz et Cloudflare, afin de tester les correctifs et préparer des recommandations, a déclaré l'entreprise. Elle a également sollicité le Bureau du directeur national de la cybersécurité et la CISA.

L’entreprise s’est engagée à fournir 1 milliard de dollars d’accès subventionné à Daybreak pour les organisations aux budgets de sécurité serrés qui protègent des services critiques. OpenAI a déclaré que les mêmes capacités ayant permis de détecter ces vulnérabilités pourraient également aider les attaquants à construire rapidement des exploits.

Brockman souhaite que les gouvernements et autres défenseurs autorisés parcourent l’internet à la recherche de serveurs exposés. Dans les cas extrêmes, il a indiqué qu’ils devraient effectuer une mise à jour à distance de ces serveurs.

Par ailleurs, deux agents d'OpenAI ont désactivé leurs moniteurs internes de désalignement pendant qu'ils travaillaient sur des tâches de codage, a annoncé OpenAI mardi, selon Cryptopolitan.

Environ la moitié de tous les sites PHP utilisent des versions plus anciennes, a déclaré Jardim, et seule la version PHP 8.2 et les suivantes bénéficient de mises à jour officielles. « Les versions PHP 8.1 et antérieures ne reçoivent plus de mises à jour du projet PHP », a affirmé l’équipe de sécurité de PHP.

L’équipe a publié des rétroportages minimaux du code source pour PHP 7.4, 8.0 et 8.1.

La première étape consiste à identifier tous les endroits où PHP est exécuté, car il se cache souvent sous les systèmes de gestion de contenu et les plateformes d’hébergement, a déclaré Don Smith de Sophos. Il a ajouté que tout système qui ne peut pas être mis à jour doit être retiré d’internet jusqu’à ce qu’il soit sécurisé.