DGSSI : Alerte critique sur deux failles majeures dans PHP

La Direction Générale de la Sécurité des Systèmes d'Information (DGSSI), relevant de l'Administration de la Défense Nationale, met en garde contre deux vulnérabilités critiques touchant le langage PHP, socle technique d'une immense majorité des sites et applications web dans le monde. Dans un bulletin de sécurité publié ce mardi, la direction explique que ces deux failles, regroupées sous le nom de "PHP2Shell", représentent une menace de niveau critique.

Le risque n'est pas théorique, un attaquant distant pourrait exploiter ces brèches pour exécuter du code malveillant à distance et prendre le contrôle total d'un serveur vulnérable. Ce qui rend la situation particulièrement alarmante, c'est que le code permettant d'exploiter ces failles est déjà accessible publiquement. Connue sous le nom de Proof of Concept (PoC), cette démonstration technique facilite grandement le travail des cybercriminels et augmente considérablement le risque d'attaques massives contre les serveurs qui n'ont pas été mis à jour.

Les sites utilisant des versions obsolètes de PHP sont les plus exposés. Une prise de contrôle pourrait se traduire par du vol de données, la défiguration de sites web, ou encore l'installation de rançongiciels. La mise à jour reste à ce jour la seule protection efficace contre cette menace de type "exécution de code à distance".