Retrouvez tous nos conseils dans notre rubrique PC & Cie.
Parmi les failles récemment révélées touchant PHP, l’une est décrite comme une vulnérabilité de type « use-after-free ». Une expression technique qui mérite une explication simple, tant elle revient régulièrement dans l’actualité de la sécurité informatique.
Le principe, en une image
Imaginez un casier de consigne dans une gare : vous y déposez un bagage, puis vous libérez le casier en repartant. Normalement, personne ne devrait plus pouvoir accéder à ce bagage une fois le casier vidé. Une faille « use-after-free » correspond à une situation où un programme continue, par erreur, à utiliser cet espace mémoire après qu’il a été libéré, alors qu’il peut entre-temps avoir été réattribué à autre chose. Un attaquant qui comprend ce mécanisme peut, dans certains cas, en profiter pour injecter ses propres données dans cet espace mémoire mal géré.
Pourquoi c’est considéré comme dangereux
Ce type de faille figure parmi les plus recherchées par les chercheurs en sécurité, car elle peut, dans le pire des cas, permettre d’exécuter du code non prévu sur le serveur ou l’appareil concerné. C’est la raison pour laquelle les éditeurs de logiciels, y compris l’équipe derrière PHP, traitent ces découvertes avec un haut niveau de priorité dès qu’elles sont signalées.
Un problème aussi vieux que la programmation elle-même
Les failles de gestion de mémoire comme celle-ci existent depuis les débuts de l’informatique moderne. Elles concernent principalement les langages qui laissent le développeur gérer manuellement la mémoire, ce qui explique pourquoi certains langages plus récents ont justement été conçus pour limiter ce risque de façon automatique. PHP, comme beaucoup de langages très répandus, doit composer avec cet héritage technique tout en continuant d’évoluer.
Ce que cela change pour vous
Si vous n’êtes pas développeur, retenez surtout ceci : ce type de faille est corrigé en mettant à jour le logiciel concerné, ici PHP, dès que le correctif est disponible. C’est tout l’enjeu des mises à jour de sécurité régulières, souvent perçues comme une contrainte technique alors qu’elles referment, concrètement, des portes ouvertes à ce genre de manipulation.