Hier, tout le monde parlait des vulnérabilités PHP qui semaient la panique. J’ai regardé ça rapidement et j’ai essayé de comprendre.
PHP est un langage de programmation très répandu pour le backend des sites web. De nombreux sites l’utilisent, notamment WordPress et Magento.
Les deux vulnérabilités graves révélées cette fois-ci ont toutes deux obtenu un score CVSS de 9,2. Pour faire simple, dans certaines conditions, un attaquant peut même exécuter du code à distance sans se connecter, et s’en prendre directement au serveur du site. Dans les cas les plus graves, il peut dérober la base de données et les identifiants des comptes, voire prendre le contrôle du serveur entier.
━━━━━━━━━━━━
Un événement complètement hallucinant s’est produit hier : la divulgation de ces deux vulnérabilités était initialement prévue pour le 22 octobre, afin de laisser le temps aux équipes de développement de les corriger.
Mais le 20 octobre, un type a éventé l’affaire en avance sur Hacker News.
Et juste après, un autre couac :
Calif, l’équipe de sécurité qui participait à l’étude des vulnérabilités, a publié en avance une vidéo de démonstration d’une attaque PoC. La vidéo a été supprimée rapidement, mais elle avait déjà commencé à circuler en ligne. (La vidéo est ci-dessous.)
Alors que les équipes coordonnaient encore la correction des vulnérabilités, la démonstration de l’attaque a été rendue publique en premier. L’équipe officielle de PHP n’a donc eu d’autre choix que d’avancer la publication du correctif au 21 octobre.
De plus, l’équipe de sécurité a déjà signalé des tentatives d’exploitation réelles. Certaines administrations et certains sites web ont même choisi de se mettre temporairement hors ligne pour vérifier et corriger les failles en priorité.
━━━━━━━━━━━━
Quelles conséquences pour nous ?
Si les sites que vous utilisez souvent présentent une vulnérabilité dans leur backend et qu’elle n’est pas corrigée à temps, une fois compromis, leurs pages peuvent être modifiées ou piégées avec du contenu de phishing, voire servir à dérober les identifiants de comptes.
Les utilisateurs de crypto, en particulier, devraient accéder aux plateformes d’échange, aux portefeuilles et aux sites d’airdrop par les canaux officiels ces prochains jours. Ne cliquez pas sur des liens inconnus et ne signez rien à la légère !! On dit que la situation pourrait être particulièrement intense ces deux prochains jours.
Cette vulnérabilité existe depuis des années, mais l’aide de l’IA à la recherche a abaissé le niveau de difficulté nécessaire pour la découvrir et concevoir des méthodes d’exploitation.
Dès qu’une vulnérabilité est divulguée, les attaquants peuvent réagir très vite, tandis qu’il faut du temps pour corriger les systèmes des nombreux sites concernés dans le monde.
Autrement dit, la vitesse de correction des vulnérabilités est désormais en course contre la vitesse de propagation des techniques d’attaque.
PHP est un langage de programmation très répandu pour le backend des sites web. De nombreux sites l’utilisent, notamment WordPress et Magento.
Les deux vulnérabilités graves révélées cette fois-ci ont toutes deux obtenu un score CVSS de 9,2. Pour faire simple, dans certaines conditions, un attaquant peut même exécuter du code à distance sans se connecter, et s’en prendre directement au serveur du site. Dans les cas les plus graves, il peut dérober la base de données et les identifiants des comptes, voire prendre le contrôle du serveur entier.
━━━━━━━━━━━━
Un événement complètement hallucinant s’est produit hier : la divulgation de ces deux vulnérabilités était initialement prévue pour le 22 octobre, afin de laisser le temps aux équipes de développement de les corriger.
Mais le 20 octobre, un type a éventé l’affaire en avance sur Hacker News.
Et juste après, un autre couac :
Calif, l’équipe de sécurité qui participait à l’étude des vulnérabilités, a publié en avance une vidéo de démonstration d’une attaque PoC. La vidéo a été supprimée rapidement, mais elle avait déjà commencé à circuler en ligne. (La vidéo est ci-dessous.)
Alors que les équipes coordonnaient encore la correction des vulnérabilités, la démonstration de l’attaque a été rendue publique en premier. L’équipe officielle de PHP n’a donc eu d’autre choix que d’avancer la publication du correctif au 21 octobre.
De plus, l’équipe de sécurité a déjà signalé des tentatives d’exploitation réelles. Certaines administrations et certains sites web ont même choisi de se mettre temporairement hors ligne pour vérifier et corriger les failles en priorité.
━━━━━━━━━━━━
Quelles conséquences pour nous ?
Si les sites que vous utilisez souvent présentent une vulnérabilité dans leur backend et qu’elle n’est pas corrigée à temps, une fois compromis, leurs pages peuvent être modifiées ou piégées avec du contenu de phishing, voire servir à dérober les identifiants de comptes.
Les utilisateurs de crypto, en particulier, devraient accéder aux plateformes d’échange, aux portefeuilles et aux sites d’airdrop par les canaux officiels ces prochains jours. Ne cliquez pas sur des liens inconnus et ne signez rien à la légère !! On dit que la situation pourrait être particulièrement intense ces deux prochains jours.
Cette vulnérabilité existe depuis des années, mais l’aide de l’IA à la recherche a abaissé le niveau de difficulté nécessaire pour la découvrir et concevoir des méthodes d’exploitation.
Dès qu’une vulnérabilité est divulguée, les attaquants peuvent réagir très vite, tandis qu’il faut du temps pour corriger les systèmes des nombreux sites concernés dans le monde.
Autrement dit, la vitesse de correction des vulnérabilités est désormais en course contre la vitesse de propagation des techniques d’attaque.