- Deux failles majeures dans le langage PHP, baptisées « PHP2Shell », ont provoqué la mise hors ligne de nombreux sites dans le monde entier.
- Des correctifs ont été publiés en urgence : si votre site tourne sous PHP, une mise à jour s’impose sans attendre.
- Des plateformes gouvernementales françaises ont également été touchées, preuve que personne n’est à l’abri.
PHP, c’est quoi et pourquoi ça vous concerne ?
PHP est un langage de programmation qui fait tourner une très grande partie des sites web dans le monde, des boutiques en ligne aux blogs en passant par de nombreux outils métier. Si votre site est développé sur WordPress, Drupal, Prestashop ou un CMS similaire, il repose très probablement sur PHP.
Que s’est-il passé cette semaine ?
Mercredi 21 octobre, deux vulnérabilités sérieuses ont été découvertes dans PHP. Elles ont été jugées suffisamment dangereuses pour que des hébergeurs et des administrateurs web choisissent de couper l’accès à leurs sites par mesure de précaution, le temps d’appliquer les correctifs disponibles. En France, des sites de préfectures et de Météo France ont notamment été rendus temporairement inaccessibles.
Des correctifs ont été publiés en urgence le même jour. L’enjeu était clair : laisser un site vulnérable en ligne exposait les propriétaires à des attaques potentielles exploitant ces failles.
Ce que vous devez faire
Si vous gérez vous-même votre hébergement, vérifiez que la version de PHP utilisée est bien à jour. Si vous passez par un prestataire ou un hébergeur mutualisé, renseignez-vous auprès de lui : il est probable que la mise à jour ait déjà été appliquée de son côté, mais ça vaut la peine de le confirmer. Dans tous les cas, c’est aussi l’occasion de vérifier que votre site dispose d’une sauvegarde récente.
Autres actus de la semaine
- La députée Agnès Pannier-Runacher a été ciblée par un logiciel espion, dont la nature exacte reste à déterminer.
- Le parti allemand AfD a subi une cyberattaque entraînant la fuite de plus de 421 000 e-mails.
- Le site des Républicains a brièvement été détourné pour afficher un appel à manifester.
- Le CERT-FR a publié des avis de sécurité urgents sur Roundcube Webmail (exécution de code à distance), les produits Stormshield, Oracle, Cisco, GitLab et Google Chrome notamment.
Ce que ça change concrètement pour votre PME
Pour un dirigeant de PME, cette semaine illustre un risque souvent sous-estimé : votre site web peut tomber, ou être compromis, à cause d’une faille dans un composant technique que vous n’avez pas choisi et que vous ne gérez pas forcément au quotidien. La bonne nouvelle, c’est que des correctifs ont été rapidement mis à disposition. L’essentiel est d’avoir un prestataire réactif et de ne pas laisser traîner les mises à jour, même quand tout semble fonctionner normalement.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.