PHP : deux failles critiques détectées par des modèles d'IA ont été corrigées
L’équipe de développement de PHP a publié le 21 octobre des mises à jour d’urgence corrigeant deux vulnérabilités critiques. Elles permettaient à un attaquant d’exécuter du code arbitraire à distance sur le serveur, sans aucune authentification. Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ont été mises à jour.
Ces failles ont été découvertes par des spécialistes en sécurité informatique à l’aide de modèles d’intelligence artificielle. Selon OpenAI, les recherches ont été menées dans le cadre de l’initiative Patch the Planet. Les installations de PHP traitant des requêtes web étaient concernées, le niveau de risque dépendant de la configuration de chaque serveur.
L’une des vulnérabilités est liée à la corruption de l’état interne du système en cas de manque de mémoire. L’autre résulte de l’utilisation de données obsolètes après la libération de la mémoire. Les développeurs de PHP ont désigné comme scénario le plus dangereux l’exploitation via mod_php, qui permettait de lancer l’attaque avant même l’exécution du code de l’application. Nous avions déjà fait état de la correction de deux vulnérabilités critiques dans PHP et des premières attaques détectées.
La préparation des correctifs a pris environ deux mois. Les développeurs de PHP, des spécialistes de Calif, Wiz et Cloudflare, ainsi que des représentants de l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) et de la Maison-Blanche y ont participé. Les parties ont coordonné le calendrier de divulgation afin que les développeurs et les éditeurs de logiciels puissent publier leurs correctifs avant l’annonce publique.
Il est vivement recommandé aux développeurs et aux administrateurs de serveurs de mettre à jour PHP sans délai vers les versions corrigées. Pour vérifier les versions installées, OpenAI a publié sur GitHub l’outil de diagnostic php2shell-checker.
OpenAI propose par ailleurs de faire de la procédure suivie un protocole type de divulgation des vulnérabilités critiques découvertes par l’IA. Selon l’entreprise, une procédure commune permettrait aux développeurs, aux chercheurs en sécurité et aux organismes publics d’échanger plus rapidement des informations et de publier des correctifs avant que les détails techniques ne deviennent publics.
