Faille PHP2Shell : le correctif est publié, l'ANSSI recommande de mettre à jour ou d'isoler les serveurs web concernés

Le 21 octobre à 16 h, l’équipe de PHP (le langage qui fait fonctionner la majorité des sites web, dont tous les sites WordPress) a publié des versions corrigées (8.5.12, 8.4.27, 8.3.36 et 8.2.35) pour deux failles critiques, surnommées « PHP2Shell », qui permettent à un attaquant de prendre le contrôle d’un serveur web à distance, sans mot de passe. Le CERT-FR, le centre d’alerte de l’ANSSI, a publié une alerte le même jour : il recommande de passer dès maintenant à une version corrigée et, pour les versions plus anciennes (PHP 8.1 et antérieures, qui ne reçoivent plus de correctif officiel), d’isoler les systèmes concernés en attendant une migration. Cloudflare indiquait dès la matinée bloquer des tentatives d’attaque, avant même la sortie du correctif, et le ministère de l’Intérieur a mis hors ligne par précaution les sites des préfectures à la demande de l’ANSSI, tandis qu’impots.gouv.fr et cnil.fr affichaient une page de maintenance. Point important : mettre à jour WordPress ou ses extensions ne corrige rien, car la faille se trouve dans PHP lui-même, installé et maintenu par l’hébergeur ou le prestataire qui gère le serveur. Ce que cela change pour vous : demandez aujourd’hui, par écrit, à votre hébergeur ou à votre agence web si la version de PHP qui sert votre site (et vos éventuels boutique en ligne, intranet ou extranet client) a été mise à jour vers l’une des versions corrigées et si les services ont été redémarrés ; si le serveur tourne encore sur PHP 8.1 ou plus ancien, exigez un plan de migration ou une coupure temporaire de l’accès depuis Internet.