Cybersécurité : La DGSSI alerte sur des failles PHP
Une alerte en matière de cybersécurité a été émise concernant deux vulnérabilités critiques affectant le langage de programmation PHP. Ces failles pourraient présenter des risques pour la sécurité des systèmes et des sites web qui l’utilisent, nécessitant la mise en place de mesures préventives appropriées afin de limiter les menaces potentielles.
La Direction générale de la sécurité des systèmes d’information (DGSSI) a publié, mercredi 21 octobre, une alerte concernant deux vulnérabilités critiques affectant PHP, un langage utilisé par de nombreux sites web. Selon le bulletin rapporté, ces failles pourraient permettre à des pirates de prendre le contrôle de serveurs vulnérables.
Baptisées « PHP2Shell », les deux vulnérabilités présentent un score de gravité annoncé de 9,2 sur 10. Elles permettraient notamment d’exécuter du code à distance sans authentification préalable et d’accéder à des données confidentielles.
La disponibilité publique d’un code de démonstration de leur exploitation accroît le risque de tentatives d’intrusion.
Plusieurs configurations concernées
L’alerte concerne plusieurs environnements utilisant PHP, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.
PHP étant utilisé par des plateformes comme WordPress, Drupal ou Joomla, les administrateurs des sites concernés sont appelés à vérifier la version installée et les conditions d’exposition de leurs serveurs.
Des correctifs à déployer rapidement
Selon les informations rapportées, l’équipe de sécurité de PHP a publié des correctifs d’urgence le 21 octobre. La DGSSI appelle les administrateurs des systèmes concernés à appliquer les mises à jour sans délai.
Elle recommande également de remplacer les versions obsolètes qui ne bénéficient plus du support officiel, afin de disposer des correctifs de sécurité nécessaires.
