La correction de deux vulnérabilités critiques dans PHP ne met pas fin au risque. Dans un message transmis à l’AFP mercredi, l’Anssi appelle les fabricants de produits intégrant ce langage à appliquer les correctifs « dès que possible ». L’agence française de cybersécurité estime que la menace peut désormais concerner un périmètre plus large que les seuls sites internet.
Le risque se déplace vers les produits intégrés
PHP fait fonctionner une grande partie du web et serait utilisé par près de 70 % des sites. La semaine précédente, la découverte de deux failles grâce à l’intelligence artificielle avait conduit des milliers de sites à être volontairement mis hors ligne par précaution. La fondation chargée du développement de PHP a depuis publié des correctifs, permettant à la grande majorité de ces sites de retrouver leur activité.
« Il ne faut pas pour autant considérer que le problème est définitivement résolu »
Pour l’Anssi, les vulnérabilités peuvent produire des effets indirects lorsque des versions de PHP sont embarquées dans des solutions distribuées par des fabricants tiers. L’agence cite notamment plusieurs catégories d’équipements susceptibles d’être concernées :
- les routeurs ;
- les pare-feu ;
- les objets connectés.
Plus de 660 000 adresses IP concernées en France
Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques avait déjà signalé, le 26 octobre, des tentatives d’exploitation visant certains déploiements de PHP. Cette évolution explique le rappel de l’Anssi : une mise à jour d’un site ne suffit pas nécessairement à traiter tous les environnements qui utilisent le langage.
| Indicateur | Chiffre publié |
|---|---|
| Part estimée des sites utilisant PHP | Près de 70 % |
| Adresses IP utilisant PHP en France | Plus de 660 000 |
| Applications potentiellement concernées en France | Plus de 6 millions |
En France, l’agence recense ainsi plus de 660 000 adresses IP utilisant PHP et estime que potentiellement plus de 6 millions d’applications pourraient être concernées. Elle rappelle que l’application des correctifs constitue la mesure permettant de se prémunir contre l’exploitation des failles. Les équipements et logiciels intégrant PHP doivent donc être vérifiés et mis à jour « dès que possible », selon l’Anssi.
