Deux failles critiques, surnommées PHP2Shell.
Elles permettent à un attaquant, sans aucun compte, d’exécuter ce qu’il veut sur un serveur web. Et de récupérer au passage mots de passe, clés et jetons d’accès.
Le souci, c’est que PHP n’est pas un outil obscur. Il fait tourner une énorme partie des sites web dans le monde. Presque toutes les versions sont touchées, jusqu’aux plus anciennes.
Des tentatives d’exploitation ont été repérées quelques minutes après l’annonce.
Si vos sites ou vos outils utilisent PHP, la première chose à faire : vérifier votre version et appliquer le correctif. Les versions corrigées sont sorties.
Mais il y a un enseignement plus large.
Si un acteur aussi massif que PHP peut avoir des failles critiques dans son propre code, alors tout le monde peut en avoir dans ses outils. Vous aussi.
La question n’est pas de savoir si vous avez des failles. C’est de savoir où elles sont.
C’est exactement ce que fait un pentest. Chez Cybreach Consulting, on cherche ces failles avant qu’un attaquant les trouve, et on les corrige pendant qu’il est encore temps.
@cybreach-consulting