L’urgence PHP : pourquoi votre serveur doit être mis à jour immédiatement

Dans le monde du développement web, certaines informations sont "agréables à savoir" et d’autres signifient "laissez tout de côté et corrigez immédiatement". Nous sommes aujourd’hui clairement dans cette deuxième catégorie.

Un avis de sécurité majeur vient d’être publié concernant deux vulnérabilités critiques de PHP, l’épine dorsale d’une grande partie d’Internet. Avec un niveau de gravité de 9,2 sur 10, ce ne sont pas de simples bugs : elles peuvent carrément mettre vos sites hors service.

La menace : l’exécution de code à distance (RCE)

Le problème repose essentiellement sur l’exécution de code à distance. Pour le dire simplement, un attaquant ne se contente pas de consulter votre site : il gagne la capacité d’exécuter du code de son choix directement sur votre serveur. Cela lui permet de modifier votre contenu, de détourner des sessions utilisateur ou — pire encore — d’extraire des données sensibles de votre base de données.

L’ampleur de la menace est considérable. Comme ces vulnérabilités affectent pratiquement toutes les versions de PHP depuis la version 5, le "rayon d’impact" est vaste. WordPress fait tourner à lui seul plus de 40 % du Web et presque tous les sites WordPress reposent sur PHP : une immense partie d’Internet se trouve actuellement en première ligne.

Pourquoi les "mises à jour automatiques" pourraient ne pas vous sauver

Si vous êtes un utilisateur occasionnel, vous êtes peut-être habitué à cliquer sur "Mettre à jour" dans votre tableau de bord WordPress, puis à considérer que tout est réglé. Ne comptez pas sur cette solution aujourd’hui.

Les experts en sécurité, notamment l’équipe de Wordfence, ont averti que ces correctifs spécifiques ne peuvent pas être appliqués via les mises à jour automatiques standard des CMS. Il s’agit d’une correction au niveau du serveur. Vous (ou votre ingénieur DevOps) devez mettre à jour manuellement la version de PHP dans votre environnement d’hébergement afin de garantir l’application correcte du correctif.

L’"option nucléaire" : mettre les sites hors ligne

La vulnérabilité est tellement importante que des organisations comme le UK National Cyber Security Centre et le CERT de l’Union européenne ont publié des recommandations fermes. Si vous ne pouvez pas corriger votre serveur immédiatement, la mesure la plus sûre pourrait être d’isoler votre application de l’Internet public ou de la mettre entièrement hors ligne.

Cela peut sembler excessif, mais des exploits de proof-of-concept sont déjà en cours de développement : le délai pour "attendre jusqu’au week-end" est clos. Cloudflare a d’ailleurs déjà signalé avoir observé les premières attaques contre des sites basés sur PHP.

Conseils d’expert pour les développeurs et les administrateurs :

1. Vérifiez votre version de PHP : Connaissez précisément la version que vous utilisez.
2. N’attendez pas le plugin : Si vous administrez votre propre VPS ou votre instance cloud, lancez immédiatement les mises à jour de votre gestionnaire de paquets (par ex., sudo apt upgrade php).
3. Utilisez un pare-feu : Si vous ne pouvez pas appliquer le correctif tout de suite, assurez-vous que votre WAF (Web Application Firewall) est à jour afin de détecter les premières tentatives d’exploitation.
4. Surveillez vos journaux : Surveillez étroitement les journaux d’accès au serveur afin de repérer les requêtes POST inhabituelles ou les exécutions de commandes inattendues.

Chez NameOcean, nous savons que la disponibilité est essentielle, mais c’est la disponibilité sécurisée qui compte vraiment. Ne laissez pas une seule vulnérabilité réduire à néant le travail que vous avez accompli — appliquez le correctif à votre environnement PHP dès aujourd’hui !