Il y a une semaine, tout le web était en alerte. En effet, le 21 octobre, la fondation qui développe PHP, l’une des briques majeures du web, a publié en urgence un correctif contre deux failles de sécurité critiques, d’une importante gravité. La menace était tellement importante que certains sites se sont mis hors ligne, le temps d’installer le correctif. Et aujourd’hui, on sait que le danger est réel pour les serveurs qui n’auraient pas encore fait cette mise à jour de PHP.
En effet, si des débuts ou des tentatives d’attaques étaient déjà évoqués la semaine dernière, aujourd’hui, il est de plus en plus sûr que ces failles sont déjà exploitées par des acteurs malveillants. En tout cas, c’est ce qu’indique la CISA, l’agence de cybersécurité des États-Unis. En effet, celle-ci vient juste d’ajouter les deux failles PHP réparées il y a une semaine à la liste “KEV” des failles qui sont connues pour être déjà exploitées.
Les découvertes de ce type vont se multiplier
Ces deux failles PHP étaient graves à cause de leur niveau de sévérité, mais aussi à cause du très grand nombre de sites web qui dépendent de ce langage de programmation. On sait aujourd’hui que ces failles ont été découvertes grâce à la technologie d’OpenAI (créateur de ChatGPT), et que Wiz a également pu faire la même découverte de manière indépendante. A priori, ceux-ci ont pu trouver cette faille avant que des attaques ne permettent de l’exploiter. Mais, désormais, à en croire la CISA, des attaques existeraient.
Sinon, il est à noter que dans la présentation de sa découverte, OpenAI a aussi prévenu que les découvertes similaires, avec d’importantes conséquences, vont être nombreuses. “Vu la gravité de ces failles et l’usage répandu de PHP, nous considérons qu’il s’agit d’un des problèmes de sécurité les plus lourds de conséquences de ces dernières années. Cela montre que l’IA peut révéler des failles ayant un impact à l’échelle d’Internet, mais ces mêmes capacités peuvent aussi aider les attaquants à développer rapidement des outils offensifs et des exploits”, lit-on dans cette publication.