Deux failles critiques dans PHP, des correctifs publiés en urgence
La faille PHP2Shell permet l'exécution de code à distance sans authentification ; les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 corrigent le problème.
Deux failles de sécurité majeures ont été découvertes dans PHP, un langage de programmation utilisé par près de 70 % des sites web dans le monde. Les vulnérabilités ont été divulguées sur un forum public et l'organisation PHP a confirmé qu'elles étaient réelles, selon le média sud-coréen digitaltoday.co.kr.
La principale, baptisée PHP2Shell, permet à un attaquant d'exécuter du code arbitraire à distance sur un serveur sans authentification, ou de lire la mémoire des processus. Sont concernées les versions PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11 et antérieures, ainsi que toutes les branches en fin de vie, PHP 8.1 et inférieures, y compris les séries 7.x et 5.x.
Correctifs et consignes des autorités
L'organisation PHP recommande une mise à jour immédiate vers les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Le KISA, le CISA, le NCSC britannique et le CERT-EU ont de leur côté conseillé la mise à jour ou alerté sur le risque. La NSA a recommandé aux entreprises incapables de corriger sans délai de mettre leurs services hors ligne.
La faille a été identifiée par Wiz au moyen de son agent de sécurité IA Wiz Atlas, associé aux modèles Gemini 4 Argon de Google et GPT-5.6 Sol d'OpenAI. La société Calif a pour sa part trouvé l'une des failles PHP dans le cadre du projet Patch the Planet d'OpenAI, en utilisant GPT-5.6 Sol.
Des agences gouvernementales européennes, des hôpitaux, des écoles et des sites comme le port de Rotterdam, la police de Paris et 4chan ont bloqué leurs accès pour éviter d'être piratés, rapporte The Atlantic. Le même jour, l'équipe Node.js a divulgué plusieurs vulnérabilités de gravité élevée.
Selon The Atlantic, qui s'exprimait le 21 octobre, ces blocages touchaient des sites européens. Pour contexte, la faille PHP2Shell serait restée indétectée pendant plus de 10 ans avant d'être repérée par des outils d'IA.
En bref
Quelles versions de PHP sont concernées par PHP2Shell ?
Les versions 8.2.34, 8.3.35, 8.4.26, 8.5.11 et antérieures, ainsi que toutes les versions en fin de vie, PHP 8.1 et inférieures, dont les séries 7.x et 5.x.
Vers quelles versions faut-il mettre à jour ?
PHP recommande les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Que permettent de faire les failles PHP2Shell ?
Exécuter du code arbitraire à distance sur un serveur sans authentification, ou lire la mémoire des processus.