Retrouvez tous nos conseils dans notre rubrique PC & Cie.
Le mot « PHP » a lui aussi grimpé dans les recherches ce mercredi, aux côtés de termes comme « faille critique » ou « faille PHP ». Derrière cette vague d’intérêt se cache un sujet technique mais qui concerne, indirectement, une grande partie du web : PHP reste l’un des langages les plus utilisés au monde pour faire fonctionner des sites internet, et plusieurs vulnérabilités importantes le concernant ont été révélées ces dernières semaines par l’équipe de sécurité du projet.
Pourquoi PHP est partout, même sans qu’on le sache
Difficile à croire, mais une part très importante des sites internet que vous visitez chaque jour, boutiques en ligne, blogs, forums ou sites d’actualité, reposent au moins en partie sur PHP. C’est un langage de programmation côté serveur, invisible pour le visiteur, mais central dans le fonctionnement du site. Une faille de sécurité critique dans PHP peut donc, en théorie, affecter des millions de sites si elle n’est pas corrigée à temps par les administrateurs.
Ce que révèlent les dernières alertes de sécurité
Les avis de sécurité publiés récemment par l’équipe PHP pointent plusieurs problèmes distincts :
- Une vulnérabilité affectant le composant SoapServer, qui peut provoquer un plantage du serveur lorsqu’un document XML spécialement construit lui est envoyé, avec un niveau de gravité jugé élevé par les échelles de notation habituelles.
- Une autre faille, de type « use-after-free », touchant ce même composant lorsqu’il utilise une option de persistance de session, corrigée dans les versions les plus récentes de PHP.
- Un défaut de configuration réseau sur PHP-FPM, qui pouvait laisser passer des connexions depuis des adresses IPv6 normalement censées être filtrées.
Prises séparément, ces failles semblent très techniques. Mises bout à bout, elles expliquent pourquoi la communauté des développeurs et des hébergeurs a réagi aussi vite, et pourquoi le sujet a fini par remonter jusque dans les recherches du grand public.
Un site peut-il planter du jour au lendemain ?
Dans l’immense majorité des cas, non, pas de façon visible pour un simple visiteur. Ce type de faille est surtout exploité de manière ciblée, pour tenter de déstabiliser un service précis ou d’accéder à des données qu’il ne devrait pas exposer. Le vrai risque concerne les sites qui n’ont pas appliqué les mises à jour de sécurité disponibles, ce qui reste malheureusement fréquent, en particulier sur des sites anciens ou peu maintenus.
Que faire si vous gérez un site en PHP
- Vérifier la version de PHP utilisée par votre hébergement et la comparer aux versions encore maintenues.
- Appliquer sans tarder les mises à jour de sécurité proposées par votre hébergeur ou votre CMS.
- Désactiver les composants non utilisés, notamment SoapServer si votre site ne s’en sert pas.
- Surveiller les avis de sécurité officiels plutôt que de se fier uniquement aux rumeurs relayées en ligne.
Et pour les simples utilisateurs ?
Pas d’action particulière à mener de votre côté : ce type de faille concerne les propriétaires de sites et leurs hébergeurs, pas directement votre ordinateur ou votre téléphone. Le meilleur réflexe reste, comme toujours, de rester attentif à tout comportement inhabituel sur les sites que vous utilisez et de maintenir vos propres appareils à jour.