Failles critiques dans PHP : ce que les entreprises canadiennes devraient vérifier maintenant

Une importante vulnérabilité touche l'infrastructure Web

Des organisations partout dans le monde réagissent à des vulnérabilités critiques découvertes dans PHP, un langage côté serveur utilisé par de nombreux sites Web, systèmes de gestion de contenu, plateformes d'hébergement et autres applications Web. Selon BBC News, des correctifs ont été publiés mercredi après que des détails sur les failles ont circulé publiquement avant la divulgation prévue. La réaction des autorités est importante. Des organismes gouvernementaux et de cybersécurité de plusieurs pays ont demandé aux organisations d'appliquer les correctifs disponibles. Lorsque la correction immédiate n'est pas possible, le National Cyber Security Centre du Royaume-Uni recommande d'envisager de mettre les systèmes touchés hors ligne jusqu'à ce que le risque puisse être atténué. Pour les PME du Québec et du Canada, cet incident rappelle qu'un site Web peut dépendre de technologies qui demeurent pratiquement invisibles dans les activités quotidiennes.

Pourquoi PHP mérite une attention particulière

PHP fonctionne sur les serveurs Web et est utilisé par des plateformes largement déployées comme WordPress, Drupal, Joomla et Magento. Il peut également être intégré à des environnements d'hébergement, des panneaux de contrôle et des produits tiers sans que l'entreprise qui les utilise en soit nécessairement consciente. L'inventaire technologique devient donc particulièrement important. Connaître le CMS utilisé par l'entreprise ne suffit pas nécessairement pour déterminer toute son exposition à PHP. Selon BBC News, CERT-EU a indiqué que les cotes de gravité attribuées aux vulnérabilités signalent un potentiel d'exécution de code à distance sans authentification. Ce type de vulnérabilité peut présenter des risques importants lorsqu'un serveur vulnérable est exposé.

La mise à jour de PHP n'est qu'une partie de la réponse

Les renseignements disponibles font ressortir deux priorités distinctes : corriger les systèmes vulnérables et déterminer si un attaquant a pu obtenir un accès avant la correction. La PHP Foundation a publié des mises à jour pour les versions actuelles de PHP. Le reportage précise également que les organisations utilisant toujours PHP 8.1 ou une version antérieure sont invitées à effectuer une mise à niveau. La portée exacte doit toutefois être vérifiée puisque, au moment du reportage, les versions précises touchées n'étaient pas encore clairement établies. CERT-EU indiquait que le problème pourrait remonter jusqu'à PHP 5. Il ne faut donc pas présumer qu'une seule mise à jour du site Web principal élimine automatiquement toute exposition. Une approche pratique consiste à travailler avec votre équipe TI, votre développeur Web, votre fournisseur d'hébergement ou votre fournisseur de services TI gérés afin de repérer les systèmes accessibles depuis Internet qui utilisent PHP et de vérifier si les mises à jour pertinentes ont été appliquées.

Ne vous limitez pas au site Web principal

PHP peut se trouver derrière des sites publics, des CMS, des services d'hébergement et des applications de fournisseurs tiers. L'analyse devrait donc aller au-delà du site corporatif principal. Les entreprises devraient vérifier leurs systèmes Web accessibles de l'extérieur ainsi que l'état des environnements administrés par leurs fournisseurs. Le NCSC recommande également de continuer à surveiller les avis de sécurité des fournisseurs tiers, notamment pour les appareils et services pouvant intégrer PHP. Cette vérification est particulièrement pertinente pour les PME qui confient leur hébergement Web ou la gestion de certaines applications à un fournisseur externe. L'impartition du service n'élimine pas la nécessité de savoir si une vulnérabilité critique touchant la technologie sous-jacente a été corrigée.

Les correctifs doivent s'accompagner de surveillance

Il faut aussi déterminer si une exploitation a pu avoir lieu avant la correction. Un spécialiste en cybersécurité cité par BBC News a recommandé aux organisations de rechercher des signes indiquant qu'un attaquant aurait déjà réussi à s'implanter dans leur environnement. Le chef de la technologie de Cloudflare a également signalé l'apparition de premières attaques pendant que l'entreprise adaptait ses mesures d'atténuation aux nouveaux vecteurs observés. Pour une entreprise, la réponse ne devrait donc pas s'arrêter à la confirmation d'une mise à jour. L'examen des journaux de sécurité et des alertes disponibles à la recherche d'activités suspectes fait partie d'une réponse appropriée, particulièrement pour les serveurs accessibles publiquement.

Ce que les PME canadiennes devraient faire

Les entreprises qui exploitent des sites ou des applications Web devraient commencer par répondre à quelques questions concrètes :

• Où PHP est-il utilisé dans nos systèmes accessibles depuis Internet?
• Quelles versions de PHP sont actuellement en service?
• Les correctifs de sécurité ou les mesures d'atténuation applicables ont-ils été déployés?
• Nos fournisseurs d'hébergement ou d'applications gèrent-ils d'autres composants PHP?
• Des activités suspectes justifient-elles une enquête plus approfondie?

Lorsqu'un système touché ne peut pas être corrigé rapidement, l'organisation devrait évaluer s'il est prudent de le laisser accessible publiquement. Cette décision doit tenir compte de son importance pour les activités, de son niveau d'exposition, des mesures d'atténuation disponibles et des recommandations officielles des fournisseurs et organismes de cybersécurité. La leçon dépasse cette vulnérabilité PHP. Un inventaire à jour des systèmes exposés à Internet, des logiciels pris en charge et maintenus à jour, une surveillance des alertes de sécurité et un processus de correction d'urgence peuvent aider une PME à réagir beaucoup plus efficacement lorsqu'une vulnérabilité critique apparaît.