Les failles PHP entraînent la fermeture de sites web

Plusieurs organisations, dont Météo France, la Commission nationale de l'informatique et des libertés (CNIL) et la Ville de Paris, ont temporairement déconnecté leurs sites web en raison de failles critiques dans PHP. Orange, un grand opérateur de télécommunications, a également suspendu l'accès à plusieurs sites web, services et applications de ses filiales.

Tentatives d'exploitation observées en Europe

Aux Pays-Bas, la Tweede Kamer, la chambre basse du Parlement, a temporairement fermé son site web, et le CERT national enquête sur des « premiers signes d'exploitation réussie » des failles. Le BSI allemand indique qu'il n'a connaissance d'aucune exploitation « généralisée et réussie », tout en reconnaissant que les correctifs sont efficaces.

Correctifs publiés pour différentes versions de PHP

Les correctifs actuels comprennent des versions mises à jour de PHP 8.2, 8.3, 8.4 et 8.5, ainsi que des rétroportages pour les versions plus anciennes (7.4, 8.0 et 8.1). Canonical a corrigé les versions d'Ubuntu, y compris les dernières versions LTS, et a publié des versions antérieures supplémentaires pour les abonnés à Ubuntu Pro. Debian a intégré les correctifs à ses dépôts, et Red Hat et SUSE ont également corrigé les failles dans leurs distributions respectives.

L'usage massif de PHP accroît les risques

Environ 70 % du web utilise PHP, selon W3Techs, ce qui souligne l'étendue considérable de la surface d'attaque. Les failles se situent dans le moteur Zend, qui compile et exécute le code PHP. La première faille, introduite avec PHP 7.3, vise l'implémentation des tables de hachage, tandis que la seconde repose sur des mécanismes similaires mais nécessite une étape d'empoisonnement, puis une étape de déclenchement.

Tentatives d'attaque détectées avant la publication des correctifs

AWS a identifié des tentatives d'attaque dès le 17 octobre, provenant d'une adresse IP associée à un réseau d'anonymisation commercial. Ellio a observé des attaques avant la publication des correctifs, notamment des tentatives utilisant le PoC divulgué et des charges utiles telles qu'une version du botnet IoT Mirai compilée pour les serveurs 64 bits.

Les outils de sécurité détectent désormais les attaques visant PHP

Cloudflare a déployé des règles sur son WAF pour détecter les attaques visant ses clients, et OpenAI a publié un outil de vérification de la version de PHP sous forme de compétence Codex. Corelight a mis à disposition des packs de détection pour Zeek et Suricata, comprenant des règles ciblant des marqueurs uniques dans les requêtes HTTP POST et la détection des versions de PHP via les en-têtes de réponse.

Recommandations pour atténuer les risques

Le CERT luxembourgeois recommande de porter une attention particulière aux sites web, aux API et aux applications exposés à Internet, ainsi qu'aux environnements d'hébergement mutualisé et aux plateformes CMS. AWS suggère de bloquer les requêtes multipart au niveau du front-end pour les applications qui ne nécessitent pas de téléversement de fichiers.

Préoccupations persistantes quant à l'efficacité des correctifs

Plusieurs CERT ont souligné la nécessité de surveiller les requêtes multipart inhabituelles, les erreurs liées aux limites de mémoire et les cookies PHPSESSID anormaux. Abstract Security a reproduit une exécution de code à distance (RCE) exploitant la faille CVE-2026-109619 sur un serveur PHP 8.2 corrigé, ce qui indique que le correctif ne résout pas entièrement le problème.

Plusieurs éditeurs corrigent des failles liées à PHP

F5, Citrix, Cisco, Sophos, Synology et QNAP ont tous identifié des vulnérabilités liées à PHP dans leurs produits et travaillent à des correctifs ou à des stratégies d'atténuation. Certains produits, comme le NetScaler de Citrix et les équipements URWB de Cisco, ont des correctifs programmés pour des dates ultérieures.