Deux vulnérabilités critiques touchant PHP vont être corrigées aujourd’hui (on espère). Elles sont jugées particulièrement sérieuses, et l’équipe de PHP demande à tous les utilisateurs de se préparer dès maintenant.
Ce que l’on sait
Le 20 octobre, l’équipe de sécurité de PHP a publié une annonce inhabituelle sur php.net. Une mise à jour de sécurité est prévue le mercredi 21 octobre à 14 h UTC, soit 16 h à Paris. Elle corrigera deux failles, évaluées à 9.2 sur 10 selon le CVSS v4.0. L’éditeur précise qu’il se réserve le droit d’avancer la publication si des détails techniques deviennent publics ou si une exploitation active est constatée.
Ce contexte est d’autant plus sensible qu’un message publié puis supprimé sur un forum technique affirmait l’existence de deux failles permettant l’exécution de code à distance, avec un score de 10. Selon ces informations non confirmées, plusieurs versions de PHP, remontant jusqu’à PHP 5, seraient concernées.
À ce stade, les versions touchées et les versions correctives ne sont pas encore officiellement détaillées. Ces informations seront publiées avec les bulletins de sécurité accompagnant le correctif.
Pourquoi c’est important
Une exécution de code à distance permet à un attaquant de prendre la main sur un serveur. Pour un site e-commerce, les conséquences peuvent aller du vol de données clients à l’altération de la boutique, en passant par l’injection de scripts malveillants dans les pages de paiement. Une faille de ce niveau mérite donc une réponse rapide.
Notre réponse chez Scopika
- Veille active : nous suivons les annonces officielles de PHP et les bulletins de sécurité dès leur publication.
- Préparation de la mise à jour : nous identifions les environnements qui utilisent PHP, y compris les versions anciennes, pour pouvoir appliquer le correctif sans attendre.
- Application rapide : dès que la version corrective sera disponible, nous la déploierons sur nos infrastructures, en commençant par les environnements les plus exposés, puis sur les sites de nos clients.
- Vérifications après mise à jour : tests de fonctionnement et contrôle des logs, pour confirmer que la mise à jour est bien appliquée et que la boutique fonctionne normalement.
- Information des clients : si une action de votre côté est nécessaire, nous vous contacterons directement.
- Blocage des fonctions les plus exposées au sein de l’administration (Selon le serveur vous ne pourrez pas uploader de fichier dans la journée)
Et vous ?
Si vous administrez vous-même un serveur ou une boutique hébergée, vérifiez dès aujourd’hui quelle version de PHP vous utilisez, et préparez-vous à appliquer le correctif dès sa sortie. En cas de doute, contactez votre équipe technique ou notre équipe support.