Plusieurs vulnérabilités critiques découvertes dans PHP : installez immédiatement les mises à jour de sécurité
Deux vulnérabilités critiques dans PHP pourraient permettre à un attaquant d'exécuter du code malveillant sur les serveurs concernés sans avoir à s’authentifier. Des mises à jour de sécurité sont désormais disponibles. L'Office fédéral de la cybersécurité (OFCS) recommande de mettre à jour immédiatement les systèmes concernés. Outre les serveurs web, vérifiez également les applications et les appareils qui utilisent PHP comme composant intégré.
Vérifiez également les installations PHP intégrées et internes
La vérification ne doit pas se limiter aux sites web accessibles au public. PHP peut également faire partie d’interfaces d’administration, d’applications métier internes, de plateformes d’hébergement, de conteneurs ou d’appareils. Or, les opérateurs ne savent pas toujours que le produit utilise PHP en arrière-plan.
Vérifiez auprès de vos fournisseurs de logiciels et prestataires de services quels produits sont concernés et quelles mises à jour sont nécessaires. Donnez la priorité aux systèmes accessibles depuis Internet et aux applications ayant accès à des données particulièrement sensibles ou à des processus métier critiques. Vérifiez ensuite également les systèmes internes.
Des mises à jour de sécurité sont disponibles
Les vulnérabilités sont corrigées dans les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Installez la version corrigée correspondant à la branche de version que vous utilisez ou une mise à jour de sécurité appropriée fournie par votre fournisseur de système d’exploitation ou de produit.
Pour les distributions Linux, les correctifs de sécurité peuvent être réintégrés dans les
versions existantes. Une version majeure de PHP inchangée ne signifie donc pas automatiquement que le correctif fait défaut. Ce sont la version exacte du paquet et les informations de sécurité fournies par le fournisseur concerné qui sont déterminantes.
Les anciennes versions de PHP nécessitent également un correctif. Vérifiez si votre fournisseur propose des correctifs de sécurité ou passez à une version prise en charge.
Les vulnérabilités
Recommandations
- Si une mise à jour immédiate n’est pas possible
Identifiez les installations PHP, les versions utilisées, leur accessibilité et les opérateurs responsables. Tenez compte des composants intégrés et des applications gérées en externe. - Installez les mises à jour sans délai
Appliquez les mises à jour de sécurité disponibles. Faites-vous confirmer la correction auprès des hébergeurs et des fabricants. - Mettre à jour les services en cours d’exécution
après la mise à jour, redémarrez les services PHP concernés et les processus PHP fonctionnant en permanence. Les conteneurs doivent, le cas échéant, être reconstruits et déployés. - Vérifier la correction
vérifiez si les applications effectivement en cours d’exécution utilisent la version corrigée de PHP ou un paquet signalé comme corrigé par le fournisseur. - Vérifier la présence d’anomalies sur les systèmes
examinez les journaux et les systèmes concernés à la recherche de requêtes inhabituelles, de plantages, de fichiers modifiés et de processus inattendus. Une mise à jour ne remédie pas à une compromission déjà survenue.
Si une mise à jour immédiate n'est pas possible
Limitez autant que possible l’accès aux applications concernées aux personnes et aux systèmes qui en ont réellement besoin. Vérifiez, en particulier pour les applications critiques, si une déconnexion temporaire d’Internet ou une mise hors service est nécessaire.
Les avis des éditeurs décrivent des mesures transitoires supplémentaires. Il s’agit notamment de désactiver la barre de progression des téléchargements PHP et, dans la mesure où cela est possible sur le plan opérationnel, de bloquer les requêtes multipart sur le serveur web ou le proxy en amont. De telles modifications peuvent perturber les téléchargements et les formulaires et doivent être adaptées à l’environnement concerné.
Ces mesures ne réduisent que certaines voies d’attaque. Elles n’offrent pas une protection complète et ne remplacent pas les mises à jour de sécurité. Un pare-feu d’applications web (WAF) seul ne suffit pas non plus.
Informations complémentaires
L’OFCS met à jour ses informations techniques sur le Cyber Security Hub (CSH). Pour la mise en œuvre, les informations de sécurité actuelles des développeurs PHP ainsi que celles des fournisseurs de systèmes d’exploitation, d’hébergement et de produits concernés font autorité.