Selon Cointelegraph, la PHP Foundation a reconnu que l’indécision et le manque de ressources avaient retardé la correction d’une faille de sécurité critique, détectée pour la première fois en 2024, qualifiant cette réponse tardive d’« échec structurel ». Mercredi, par précaution, des organismes gouvernementaux et d’autres organisations du monde entier ont mis leurs sites Web hors ligne, tandis que PHP publiait des correctifs d’urgence pour deux vulnérabilités critiques liées qui auraient pu permettre à des attaquants non authentifiés d’exécuter du code sur les serveurs concernés sans se connecter.

PHP est un langage de programmation largement utilisé pour alimenter des sites web, des applications web et des systèmes de gestion de contenu. Dans un article de blog publié après la sortie du correctif, la fondation a déclaré que ses développeurs avaient repéré les premiers signes de la vulnérabilité en 2024, mais qu’ils avaient eu du mal à élaborer un correctif sans perturber le vaste écosystème reposant sur PHP. « Ajouté à l’absence de voie connue permettant l’exécution de code à distance et au fait que la petite équipe de développeurs principaux possédant les connaissances approfondies nécessaires sur le moteur était accaparée par de nombreuses responsabilités, ce processus décisionnel a entraîné l’interruption puis la reprise répétées, pendant des mois, des travaux sur le correctif », a déclaré la fondation. « Nous ne prétendrons pas le contraire : ce retard résulte d’une défaillance structurelle, causée à la fois par le processus décisionnel de l’équipe de sécurité et par le manque de ressources. » La faille a de nouveau été signalée le 11 août, après que la société de sécurité Calif et OpenAI eurent indépendamment fait état du même problème sous-jacent — Calif a démontré une exécution de code à distance sans condition, ce qui en a fait une priorité majeure en matière de sécurité. 

Les perturbations se sont étendues au monde entier : les Pays-Bas ont fermé leur service d’identité numérique et leur Centre national de cybersécurité a mis son site web hors ligne ; le prestataire informatique public finlandais Valtori a déconnecté des services web publics ; le ministère français de l’Intérieur a temporairement mis hors ligne les sites des préfectures ; le prestataire informatique fédéral allemand ITZBund a désactivé plusieurs sites, selon Reuters ; et la Direction australienne des transmissions a confirmé que cyber.gov.au était touché. La Première ministre japonaise Sanae Takaichi a exhorté les opérateurs sur X à installer le correctif dès que possible, précisant que la suspension temporaire des fonctionnalités d’un site web pourrait réduire les risques s’il était impossible de l’appliquer immédiatement. Par mesure de précaution, la Fondation Wikimedia a mis hors ligne Toolforge et Cloud VPS, rendant ainsi certaines parties de Wikipédia inaccessibles mercredi. 

Dans le secteur des cryptomonnaies, l’analyse MistEye de SlowMist a repéré des empreintes PHP directes sur 793 domaines parmi les 1 488 examinés, incitant les plateformes d’échange, les plateformes DeFi et les fournisseurs de portefeuilles à vérifier leur exposition et à effectuer les mises à niveau nécessaires. Intersect, l’organisation de gouvernance de Cardano, a temporairement mis hors ligne son espace réservé aux membres. Jeff Lunglhofer, directeur de la sécurité chez Coinbase, a déclaré que l’entreprise n’avait trouvé aucune preuve d’instances PHP exposées : « Dès que nous entendons parler de vulnérabilités de ce type, nous effectuons automatiquement un examen complet afin de nous assurer que tout est aussi sécurisé que possible. Nous travaillons également avec nos fournisseurs tiers pour obtenir des garanties supplémentaires. » BitGo a indiqué que sa plateforme n’était pas affectée. 

Changpeng Zhao (CZ), fondateur de Binance et ancien PDG, a averti mercredi les internautes de faire preuve d’une « prudence accrue » lorsqu’ils visitent des sites web dans les prochains jours, car certains administrateurs pourraient ne pas avoir installé les derniers correctifs de sécurité. OpenAI a publié sur GitHub une compétence Codex pour aider les opérateurs à vérifier la présence de versions vulnérables de PHP et à repérer les mises à jour applicables. L’équipe de sécurité de PHP a déclaré n’avoir identifié aucun exploit fonctionnel au moment de sa divulgation publique.