La NSA conseille de déconnecter les sites PHP non corrigés face aux attaques

Des gouvernements et des entreprises du monde entier ont mis leurs sites web hors ligne les 21 et 22 octobre pour corriger deux failles critiques dans PHP, le langage de programmation qui propulse environ 70 % des sites web. La National Security Agency (NSA) des États-Unis a conseillé aux organisations qui ne peuvent pas effectuer la mise à jour immédiatement de déconnecter leurs systèmes jusqu'à ce que le correctif soit en place. Les deux bugs, surnommés PHP2Shell, ont été découverts avec l'aide de l'IA. Quelques heures après leur divulgation, les attaquants tentaient de les exploiter des millions de fois.nsa.gov

Correctifs et avertissements

Les failles, répertoriées sous les références CVE-2026-109618 et CVE-2026-109619, permettent à un attaquant d'exécuter du code sur un serveur web à distance sans s'être connecté. Toutes les versions de PHP depuis la 5.4 sont affectées par au moins l'une d'entre elles. PHP a publié les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre. La NSA a déclaré que ces bugs sont "des failles dans PHP lui-même, et non dans l'application hébergée", et que les cybercriminels "risquent de les transformer en armes". Le National Cyber Security Centre du Royaume-Uni a émis des conseils similaires.security.truenas.com+3

Des chercheurs d'OpenAI, en Californie, et de Wiz, propriété de Google, ont trouvé les bugs en utilisant des modèles d'IA de pointe. "Un seul chercheur a accompli en une semaine ce qui aurait auparavant pris des mois de travail à une équipe de classe mondiale", a écrit Wiz. Les détails ont fuité avant que les correctifs ne soient prêts. Le PDG de Cloudflare, Matthew Prince, a déclaré que les tentatives d'exploitation sont passées de quelques milliers avant l'annonce à "des millions maintenant".rmb.reuters.com+1

D'Helsinki à Tokyo

Le fournisseur informatique fédéral allemand, les sites web des préfectures françaises et le ministère belge des Affaires étrangères ont tous mis leurs sites hors ligne. Le gouvernement tchèque a fermé son site web mercredi soir. Au Japon, Nomura, Mitsubishi UFJ Financial Group, ANA et East Japan Railway ont suspendu certains services en ligne, et l'Agence nationale des impôts a brièvement interrompu son service. Orange a restreint l'accès à certains sites. La Corée du Sud a relevé son niveau d'alerte cyber pour le secteur privé. "Je n'ai rien vu de tel depuis très, très longtemps", a déclaré jeudi le PDG de Microsoft, Satya Nadella. L'agence informatique d'État finlandaise, Valtori, a averti que le rétablissement des services "peut prendre des jours, voire des semaines".reuters.com+1

Une journée chargée pour les défenseurs

D'autres problèmes sont apparus le 21 octobre. Node.js a corrigé quatre failles de haute gravité, dont l'une permettait l'exécution de code à distance. Un attaquant a compromis LiteLLM, un proxy d'IA open source populaire, et a publié des versions malveillantes qui volaient des identifiants. L'autorité de certification indienne eMudhra a également vu ses clés privées compromises, ce qui pourrait permettre à des attaquants d'émettre des certificats frauduleux.tech.yahoo.com

Wiz a comparé PHP2Shell à la faille Heartbleed de 2014. L'entreprise a déclaré que les failles sous-jacentes "étaient présentes depuis des décennies", mais que l'IA a "considérablement réduit" la barrière pour les transformer en exploit.edition.cnn.com