Failles PHP : après l’électrochoc, la crainte du « killer PoC »

« L’information de sécurité météorologique sera diffusée sur nos réseaux sociaux en attendant le rétablissement de nos […] services. » Mercredi 21 octobre, Météo France faisait cette annonce . Il venait de mettre hors ligne son site de prévision et son site de Vigilance. Motif : la présence de deux vulnérabilités « critiques » touchant PHP . Les sites des préfectures ont subi le même traitement . La Ville de Paris, entre autres, a également dû en débrancher provisoirement. Comme la CNIL. L’incident ne s’est évidemment pas limité aux organismes publics. Orange, par exemple, a déconnecté « quelques sites web, services et applications au sein de plusieurs filiales et entités ». PHP signale une troisième vulnérabilité Aux Pays-Bas, la Tweede Kamer, chambre basse du Parlement, a elle aussi dû couper temporairement son site web. Le CERT national a fait de même. Il dit désormais enquêter sur « de premiers signaux d’exploitation réussie » des deux vulnérabilités. La situation pourrait, ajoute-t-il, s’aggraver rapidement, car des PoC sont publics. Eye Security le reconnaît, mais ne pense pas qu’un exploit générique soit possible. Cela n’écarte pas, précise-t-il, le risque d’attaques ciblées. Mais, à l’en croire, pas d’apocalypse à prévoir . L’ANSSI allemande (BSI) est moins affirmative. Elle assure cependant ne pas avoir connaissance d’une exploitation « généralisée et réussie ». Malgré les rumeurs, précise-t-elle, les correctifs sont efficaces. Le projet PHP vient de mettre un bémol : même avec les versions patchées, un cas de RCE peut se présenter. Un identifiant spécifique lui a été attribué ( CVE-2026-115560 ). Il exige toutefois une combinaison « inhabituelle » de configuration et de code applicatif engendrant une discordance du gestionnaire de session. Dans ce contexte, il n’est pas prévu de correctif hors du cycle régulier de release . Les correctifs PHP ont ruisselé dans les distribut