Ces failles comptent parmi les « vulnérabilités les plus graves » découvertes sans doute dans l’histoire des logiciels, a déclaré Wiz.
Un certain nombre de sites Web appartenant à des gouvernements et à des entreprises du monde entier ont été supprimés hier (21 octobre) pour se protéger des failles critiques de cybersécurité liées au langage de programmation PHP, découvertes à l'aide de modèles d'IA de pointe.
PHP est un langage de script côté serveur populaire conçu pour le développement Web, utilisé par près de 70 % des sites Web dans le monde. Le langage open source interagit avec le contenu des pages Web et les bases de données, et gère le backend et la logique avant de transmettre le résultat final au navigateur d'un utilisateur.
Les deux failles critiques – notées 9,2 sur 10 sur l'échelle de gravité CVSS v4.0, un système de notation standard du secteur – auraient pu permettre aux attaquants d'exécuter du code malveillant sur des serveurs vulnérables, d'exposer les données des clients ou de perturber les services, a déclaré Cloudflare. Il prévient que, puisque les plateformes largement utilisées telles que WordPress et Magento sont construites sur PHP, la faille pourrait affecter un grand nombre de sites Web.
Ces failles « comptent parmi les vulnérabilités les plus graves découvertes dans PHP, et sans doute dans l’histoire des logiciels », a déclaré Wiz, une société israélienne de cybersécurité, désormais sous Alphabet.
« Les failles sous-jacentes étaient présentes depuis des décennies, mais démontrer leur exploitabilité nécessitait une chaîne d’étapes exceptionnellement complexe… Les modèles d’IA de pointe ont considérablement réduit cette barrière, transformant une faille de longue date en exploit. »
L'organisation a découvert les failles pour la première fois en août dans le cadre d'une coalition de chercheurs et de fournisseurs de sécurité dirigée par l'initiative Daybreak d'OpenAI. Calif, une société de sécurité, a identifié une faille critique, tandis que Wiz a également découvert et signalé les deux failles de manière indépendante, a déclaré OpenAI. Les responsables de PHP ont émis un avertissement et mené des mises à niveau du système.
Si elles ne sont pas corrigées, ces vulnérabilités pourraient permettre à un attaquant de prendre le contrôle d'un serveur Web sans avoir besoin d'un mot de passe, a déclaré ESET Irlande, qui a exhorté les entreprises irlandaises à contacter leur développeur Web ou leur fournisseur d'hébergement pour confirmer si leurs sites Web ont été mis à jour.
« La plupart des propriétaires de petites entreprises irlandaises n'ont jamais entendu parler de PHP, mais il y a de fortes chances que leur site Web fonctionne avec », a déclaré George Foley, spécialiste de la cybersécurité chez ESET Irlande.
« Pour le public, le risque est plus faible. Lorsque des criminels s'emparent d'un véritable site Web, ils l'utilisent pour diffuser des logiciels malveillants ou de fausses pages de connexion vers des personnes qui font confiance à ce site. Au cours des prochains jours, soyez prudent avec toute demande de téléchargement ou de paiement inattendue, même sur des sites Web que vous connaissez. «
« Attendez-vous à ce que les fraudeurs agissent également rapidement. Les e-mails informant les entreprises que leur site a été piraté et qu'il a besoin d'une solution urgente via un lien sont une quasi-certitude. Adressez-vous directement à votre fournisseur Web, jamais via un lien dans un e-mail. «
