L'ANC-AD alerte sur deux failles critiques PHP2Shell

L'Agència Nacional de Ciberseguretat d'Andorra (ANC-AD) et son équipe de réponse aux incidents, CSIRT-AD, ont publié une alerte concernant deux vulnérabilités critiques de PHP qui pourraient permettre à un attaquant de prendre le contrôle d'un serveur web sans identifiant ni mot de passe. L'agence appelle toutes les organisations du pays, quelle que soit leur taille, à appliquer les correctifs sans délai.

Cette mise en garde fait suite à la publication mercredi, par l'équipe de développement de PHP, de versions corrigées. Selon El Periòdic, les correctifs de sécurité étaient prévus pour le 22 octobre, mais les détails techniques des failles sont devenus publics avant que les patchs ne soient prêts, et plusieurs entreprises internationales de cybersécurité ont déjà enregistré des tentatives d'exploitation.

L'ANC-AD qualifie la portée potentielle de mondiale, comparable à celle d'autres vulnérabilités à impact massif observées ces dernières années. Les failles affectent toute installation PHP servant des pages web, quelle que soit sa configuration — notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed — et toutes les versions à partir de PHP 5 peuvent être exposées. PHP 8.1 et les versions antérieures ne bénéficient plus de support officiel, ce qui accentue le risque pour les systèmes qui n'ont pas été maintenus à jour.

PHP sous-tend de nombreux systèmes de gestion de contenu et plateformes de commerce en ligne largement utilisés, parmi lesquels WordPress, Joomla, Drupal, PrestaShop, WooCommerce et Magento, ainsi que des intranets, des portails clients et des applications sur mesure.

L'ANC-AD indique que l'impact pourrait être particulièrement important pour le tissu économique andorran, dominé par les petites et moyennes entreprises. De nombreux commerces et établissements exploitent des sites web en PHP maintenus par des prestataires externes ou hébergés sur des services mutualisés, où la version installée n'est pas toujours sous leur contrôle direct. Dans les organisations plus grandes — entités financières, opérateurs de services essentiels et administrations publiques — le risque se concentre sur les portails clients, les applications internes exposées à internet et les plateformes tierces qui pourraient servir de point d'entrée vers les réseaux d'entreprise. Une seule plateforme vulnérable chez un hébergeur, un prestataire de services gérés ou un développeur pourrait toucher plusieurs clients à la fois, avertit l'agence.

Sa principale recommandation est de mettre à jour PHP sans délai vers les versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou d'appliquer les paquets publiés par les distributeurs de systèmes d'exploitation. Elle souligne que la modification de la configuration ne suffit pas. Les organisations doivent passer en revue tous les systèmes utilisant PHP, donner la priorité à ceux exposés à internet et contacter leur hébergeur ou leur prestataire de maintenance web lorsque le serveur n'est pas géré en interne. Les systèmes qui ne peuvent pas être mis à jour rapidement doivent être isolés ou temporairement déconnectés.

L'ANC-AD demande également aux exploitants de rechercher des signes de compromission depuis le 20 octobre, notamment des fichiers PHP nouveaux ou modifiés, des comptes administrateurs inconnus, des processus ou des connexions inhabituels et des journaux d'accès anormaux. Les incidents suspectés doivent être signalés au CSIRT-AD, et toute violation impliquant des données personnelles doit être notifiée à l'Agence andorrane de protection des données dans les 72 heures suivant sa détection. L'agence indique qu'elle suit l'incident en coordination avec ses homologues internationaux et qu'elle actualisera ses recommandations à mesure que de nouvelles informations techniques apparaîtront.