Les internautes restent exposés aux cyberattaques exploitant les vulnérabilités PHP, notamment via les petits sites web qui pourraient mettre plusieurs semaines à installer la mise à jour publiée mercredi dernier, selon Mitchell Amador, PDG de la plateforme de bug bounty Immunefi.

« C'est l'apocalypse des vulnérabilités », se déroulant conformément au calendrier prévu, où la découverte de vulnérabilités est devenue bon marché tandis que leur correction reste coûteuse, a déclaré Amador à Cointelegraph.

« Au cours des prochaines semaines, considérez tout site sur lequel vous vous connectez comme s'il avait déjà pu être compromis », a affirmé Amador. Il a averti les utilisateurs de ne pas réutiliser leurs mots de passe et de faire preuve de prudence lorsqu'ils connectent leurs portefeuilles de cryptomonnaies à des sites web. Il a également exhorté les utilisateurs à révoquer toute approbation de jetons non reconnue — des autorisations permanentes permettant à des contrats tiers de prélever des fonds depuis un portefeuille connecté jusqu'à leur révocation explicite.

Les propos d'Amador sont intervenus près d'une semaine après que la PHP Foundation a reconnu avoir retardé la correction d'une faille de sécurité critique identifiée pour la première fois en 2024 en raison d'un manque de ressources. Les développeurs PHP ont publié des correctifs d'urgence pour deux vulnérabilités critiques le même jour, mais chaque site web doit toujours installer les mises à jour de manière indépendante. PHP s'exécutant sur le serveur de chaque site, les correctifs n'offrent aucune protection tant que l'opérateur ne les applique pas.

Dans une interview accordée à Cointelegraph publiée en juin, Amador avait déclaré que la prolifération des modèles d'intelligence artificielle de pointe avait modifié le paysage de la cybersécurité en faveur des attaquants. Il avait lié ce changement à une « apocalypse des vulnérabilités » et à une résurgence des piratages touchant la finance décentralisée (DeFi).

Pourcentage de programmes présentant une vulnérabilité critique confirmée selon la durée d'activité. Source : Immunefi.

Immunefi se présente comme la plus grande plateforme de bug bounty au monde. Selon sa page d'accueil, la société a versé à ce jour 140 millions de dollars de primes répartis sur 650 protocoles.

La faille PHP a attiré des millions de tentatives d'exploitation en quelques heures

Le PDG de Cloudflare, Matthew Prince, a indiqué que le réseau avait enregistré des millions de tentatives d'exploitation au cours des 24 heures suivant la divulgation publique des vulnérabilités PHP, ainsi que des milliers de tentatives avant cette divulgation. Il l'a affirmé dans une publication sur X jeudi.

Environ un site web sur cinq dans le monde achemine son trafic via Cloudflare, selon la société d'infrastructure Internet, qui aide les sites web à se charger plus rapidement et protège les utilisateurs contre les cybermenaces.

Le service d'études W3Techs estime que PHP alimente environ 69 % des sites web disposant d'un langage de programmation côté serveur connu. Ces vulnérabilités pourraient permettre à des attaquants de distribuer des logiciels malveillants ou d'injecter des scripts malveillants dans des sites web du monde entier.

La division cyber du FBI a également averti que ces vulnérabilités pourraient permettre à des acteurs malveillants d'« exécuter du code à distance dans le cœur de PHP, compromettant potentiellement des données et des réseaux sensibles », selon une publication sur X mercredi. L'exécution de code à distance est considérée comme l'une des catégories de vulnérabilités web les plus graves, car une exploitation réussie peut donner à un attaquant le contrôle direct du serveur concerné.