Pop&Go

Pop&Go › IA › Faille PHP

IA

Faille PHP : WordPress et Drupal à corriger d'urgence

Le 21 octobre, PHP a publié en urgence 4 versions qui corrigent 2 failles critiques.

Note de chaleur80/100

La couverture du carrousel : Faille PHP : WordPress et Drupal à corriger d'urgence

L'essentiel

Pourquoi c'est important. Un site sous WordPress ? Ton hébergeur doit passer à la version corrigée.

  • 70 %des sites du monde tournent sous PHP
  • 9,2sur 10 : la gravité officielle des failles
  • 15failles publiées par PHP depuis le 1er juillet
  • PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent 2 failles
  • Prise de contrôle à distance démontrée sur WordPress et Drupal
  • Une fuite a avancé le correctif d'un jour, au 21 octobre

Et après ? Prochaine date : 21/10, correctif.

Ce qui s'est passé

Elles permettent de lancer du code sur un serveur, sans aucun mot de passe.

Prévue le 22, la sortie a été avancée d'un jour après une fuite sur les réseaux.

Les dates
  1. Calif signale
  2. Wiz aussi
  3. fuite en ligne
  4. correctif

Comment ça marche

Une attaque en quatre temps.

  1. Une requête pousse PHP à court de mémoire au mauvais moment.
  2. PHP laisse derrière lui des données à moitié prêtes.
  3. Une requête suivante réutilise cette mémoire abîmée.
  4. L'attaquant y glisse son code et prend la main.

À essayer

  • Tu as un site ? Regarde ta version de PHP dans l'espace de ton hébergeur.
  • Tu gères ton serveur ? Passe à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
  • Joueur de FF14 ? La sauvegarde côté serveur était encore coupée le 22/10.

Ce que ça change pour toi

  • Ton blog ou ta boutique sous WordPress ? Le risque est chez ton hébergeur.
  • La faille lit aussi la mémoire du serveur, où passent des mots de passe.
  • L'IA trouve les failles plus vite, pour ceux qui défendent comme pour ceux qui attaquent.

Ce qu'en disent les autres

804 points et 52 fils sur Hacker News, avec deux camps (avis traduits) :

  • 👍 Une parade de trois lignes, trouvée ici, a protégé mon serveur toute la journée.
  • 👎 Rompre l'embargo six heures avant la sortie, c'est accablant pour Chainguard.

Ce qu'on ne sait pas encore

  • Le correctif couvre les versions suivies de PHP, pas les plus anciennes.
  • Aucune attaque réussie n'était repérée au moment du correctif ; depuis, on ne sait pas.
  • Personne ne sait combien de sites restent à mettre à jour.

Télécharger le carrouselPDF · 1 Mo · à garder ou à partager