Failles PHP sur des sites internet : l'agence française de cybersécurité alerte sur des "impacts secondaires"

Après la suspension temporaire de nombreux sites liée à des vulnérabilités dans l’un des langages de programmation les plus répandus d’internet, PHP, l’agence de cybersécurité française a mis en garde mercredi contre de possibles « impacts secondaires » de ces failles.

La semaine précédente, des failles de cybersécurité repérées grâce à l’intelligence artificielle dans ce langage qui fait tourner une grande partie des sites internet du monde entier avaient entraîné la mise hors ligne volontaire de milliers de sites à titre de précaution.

La grande majorité de ces sites ont depuis été remis en ligne, des correctifs permettant de réparer ces « vulnérabilités critiques » ayant été publiés par la fondation qui coordonne le développement et les évolutions de PHP.

« Il ne faut pas pour autant considérer que le problème est définitivement résolu, a alerté l’Anssi dans un message transmis à l’AFP. Il est nécessaire d’avoir à l’esprit les impacts secondaires de ces vulnérabilités. »

L’agence précise que « le risque se déplace des sites web vers de très nombreux produits tiers intégrant des versions de PHP (…) comme sur des routeurs, pare-feu, objets connectés, etc. », et souligne que « seule l’application des correctifs permet de se prémunir contre l’exploitation des vulnérabilités ».

Ces équipements doivent faire l’objet de mises à jour « dès que possible », insiste l’agence.

En France plus de 660.000 adresses IP et « potentiellement plus de 6 millions d’applications » utilisent le langage PHP, selon l’Anssi.

Lundi, l’agence américaine de cybersécurité (CISA) a intégré les deux failles de sécurité PHP à son registre de vulnérabilités « exploitées », suggérant ainsi qu’il y a des signes d’utilisation de ces failles dans des tentatives de cyberattaques.