« php2shell » : deux failles critiques de PHP fuitent avant leur correctif

PHP fait tourner WordPress, Drupal, Magento, les hébergements mutualisés et beaucoup de logiciels qui ne disent pas qu'ils l'embarquent. Une faille dans le langage lui-même touche donc bien plus de serveurs qu'une faille dans une application. Prudence : sans détails techniques, on ne sait pas encore si une simple requête web suffit, ni si une configuration particulière est requise. À faire aujourd'hui : inventoriez vos serveurs PHP, y compris dans les appliances et panneaux d'administration, prévoyez une fenêtre de mise à jour cet après-midi, et coupez d'Internet les versions en fin de vie. Les distributions Linux publieront leurs paquets dans la foulée.

Le coût d'une attaque web s'effondre : un seul opérateur peut désormais mener des centaines d'intrusions en parallèle, sans compétences pointues. Cela rejoint l'alerte de Microsoft sur les agents « initiés » (voir notre édition d'hier) : l'IA est des deux côtés. À relativiser : Deere dit n'avoir perdu aucune donnée sensible, et les failles exploitées restent classiques (sites mal configurés, secrets exposés). Le conseil est donc lui aussi classique : réduire la surface exposée, surveiller les créations de fichiers sur les serveurs web et bloquer les rafales de requêtes automatisées.

Ce n'est pas une attaque, mais un rappel brutal : toute la confiance du web repose sur quelques centaines d'autorités et leurs procédures internes. Le problème est resté invisible 18 mois. Prudence : il n'y a aucune preuve d'exploitation, et la plupart de ces certificats n'auraient jamais servi en production. Le vrai risque concerne les logiciels qui embarquent leur propre magasin de certificats : objets connectés, appliances, applications. À faire : mettez à jour les paquets ca-certificates et les environnements Go, Python et Electron, et listez vos équipements qui ne se mettent pas à jour seuls.

Chiffrer ses échanges contre le « stocker maintenant, déchiffrer plus tard » devient possible avec des produits du marché. Prouver son identité de façon résistante au quantique, en revanche, ne l'est pas encore. À relativiser : MITRE s'appuie sur les déclarations des fournisseurs, sans tester les produits. Et HAWK n'était qu'un candidat, aucun standard publié n'a été cassé. Le message pratique rejoint l'affaire eMudhra ci-dessus : savoir quelle cryptographie on utilise, et pouvoir en changer vite, compte autant que le choix de l'algorithme.

Ces outils ont accès à ce qu'il y a de plus précieux : clés d'API cloud pour l'un, disques entiers pour l'autre. Les fenêtres très courtes d'AOMEI rendent l'attaque presque invisible pour les outils qui comparent les fichiers. Prudence : l'attaque OVHcloud a été bloquée vite, et son code était de faible qualité. À faire : si vous avez téléchargé la CLI OVHcloud le 19 octobre, changez tous les secrets présents sur la machine. Côté AOMEI, désactivez les contenus promotionnels et vérifiez la présence de Radmin non autorisé.

C'est le troisième incident WordPress de la semaine après Rank Math (voir notre édition d'hier), et il touche un outil de sauvegarde, donc le dernier filet de sécurité. Attention toutefois : les instances UpdraftCentral auto-hébergées ne sont pas concernées, ni les fichiers de l'extension elle-même. À faire : mettre à jour, puis supprimer manuellement les clés UpdraftCentral dans les réglages avancés, changer les identifiants des stockages distants, et restaurer une sauvegarde saine en cas d'extension inconnue.

Ce n'est pas une cyberattaque, mais c'est un sujet de résilience : la défaillance d'une zone d'un fournisseur a suffi à bloquer des services financiers essentiels. En principe, une application bien conçue bascule sur une autre zone de la même région. Prudence : la cause exacte du problème électrique et le défaut de bascule ne sont pas encore expliqués. À faire : vérifiez que vos applications critiques tournent sur plusieurs zones, et testez réellement la bascule. C'est aussi ce que demande le règlement européen DORA aux acteurs financiers.

On retrouve le schéma décrit hier pour Qilin et GlobalProtect : VPN non corrigé, puis sauvegardes. La faille Veeam CVE-2023-27532 apparaît dans les deux dossiers. À relativiser : aucune de ces failles n'est nouvelle, toutes ont des correctifs depuis un à six ans. À faire : vérifiez les versions de vos pare-feu et de Veeam, imposez la double authentification sur les VPN, et gardez une copie des sauvegardes hors ligne ou non modifiable. Les indicateurs techniques sont fournis aux formats STIX.