Cloudflare a signalé des millions de tentatives d'exploitation de failles récemment divulguées dans PHP, le logiciel web largement utilisé, selon un rapport de Nextgov/FCW. Les chercheurs ont également averti que les sites compromis pouvaient mettre leurs visiteurs en danger, et pas seulement les personnes qui les administrent. Si vous vous demandez ce que les visiteurs doivent faire face à la vulnérabilité PHP, la réponse courte est que vous ne pouvez pas corriger le serveur de quelqu'un d'autre, mais vous pouvez limiter ce qu'un attaquant obtient si un site que vous utilisez est compromis.
Les détails disponibles à ce jour sont limités, cet article s'en tient donc à ce qui a été rapporté et aux pratiques de protection générales.
Ce que Cloudflare observe dans les tentatives d'exploitation de PHP
Selon le rapport, Cloudflare a observé des millions de tentatives d'exploitation des failles PHP. La couverture décrit également un effort mondial pour mettre en place des correctifs. Cette combinaison est courante après qu'un logiciel largement utilisé fait l'objet d'une divulgation publique : les attaquants scannent internet à la recherche de serveurs qui n'ont pas encore été mis à jour, et les administrateurs se précipitent pour appliquer les correctifs.
PHP est un langage côté serveur, ce qui signifie qu'il s'exécute sur le serveur web plutôt que sur votre appareil. Cela compte parce que cela détermine qui doit agir. Les propriétaires de sites et les hébergeurs doivent appliquer les mises à jour. Les visiteurs n'ont aucun moyen de le faire à leur place.
Notre explication précédente sur la faille PHP divulguée le 22 octobre couvre la façon dont le langage sous-tend une grande partie du web et pourquoi la plupart des gens n'en avaient jamais entendu parler avant que la nouvelle éclate.
Comment un site PHP compromis peut mettre les visiteurs en danger
Les chercheurs cités dans le rapport ont averti que les sites compromis pouvaient également mettre en danger les personnes qui les visitent. Bien que les chemins d'attaque spécifiques de ces failles ne soient pas détaillés dans le résumé dont nous disposons, il existe des manières générales dont un site détourné peut affecter les utilisateurs :
- Vol d'identifiants : Si un attaquant contrôle un site, il peut être en mesure de capturer les noms d'utilisateur et mots de passe saisis sur sa page de connexion.
- Exposition des données de formulaire : Les formulaires de contact, les pages de paiement et les formulaires d'inscription peuvent être modifiés pour envoyer ce que vous saisissez à quelqu'un d'autre.
- Redirections ou téléchargements malveillants : Un site compromis peut être modifié pour pousser les visiteurs vers des pages ou des fichiers dangereux, ce qui peut mettre votre appareil en danger.
Rien de tout cela ne signifie que chaque site PHP est dangereux. La plupart des sites seront corrigés, et beaucoup n'ont jamais été vulnérables. Le point est que le maillon faible peut être un serveur auquel vous n'avez jamais pensé, il est donc utile de prévoir cette possibilité.
Ce qu'un VPN peut et ne peut pas faire contre les failles côté serveur
Un VPN chiffre la connexion entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. C'est utile sur le Wi-Fi public et pour limiter certains traçages.
Il ne corrige pas une faille sur le serveur du site web. Si un site que vous visitez a été compromis, votre trafic arrive toujours à ce site, et tout ce que vous y soumettez peut toujours être vu par celui qui le contrôle. Un VPN ne vous empêche pas non plus de saisir votre mot de passe dans un formulaire de connexion falsifié. Considérez-le comme une couche de protection de la vie privée, pas comme une défense contre un bug côté serveur.
Ce que cela signifie pour vous
Vous ne pouvez probablement pas savoir quels sites exécutent des versions vulnérables de PHP, et vous n'avez pas besoin de le savoir. Ce qui compte, c'est de réduire les dégâts si un site que vous utilisez est piraté. Les principaux risques sont les mots de passe réutilisés, les comptes sans deuxième étape de vérification et la prise de conscience tardive que vos informations ont été exposées. Chacun de ces points est quelque chose que vous pouvez contrôler dès aujourd'hui.
Étapes pratiques pour vous protéger pendant que les sites se corrigent
- Utilisez un mot de passe unique pour chaque compte. Un gestionnaire de mots de passe rend cela réaliste. Si un site divulgué votre mot de passe, les dégâts s'arrêtent là.
- Activez l'authentification à deux facteurs (2FA). Même si un mot de passe est capturé, un second facteur rend son utilisation plus difficile. Les applications d'authentification ou les clés matérielles sont généralement plus robustes que les messages texte.
- Soyez prudent avec les formulaires sensibles. Évitez de saisir des détails de paiement ou personnels sur des sites qui semblent inhabituels, se chargent bizarrement ou se comportent différemment qu'avant.
- Gardez votre navigateur et votre système d'exploitation à jour. Cela réduit la probabilité qu'une page malveillante puisse exploiter une faiblesse connue sur votre appareil.
- Surveillez les notifications de violation. Si une entreprise vous informe qu'elle a été affectée, changez votre mot de passe rapidement et examinez l'activité du compte.
- Utilisez un VPN pour ce qu'il fait bien. Il aide sur les réseaux non fiables, mais ne comptez pas sur lui pour compenser un site web compromis.
L'essentiel
La recrudescence signalée des tentatives montre à quelle vitesse les attaquants agissent une fois les failles rendues publiques, et à quel point une grande partie du web dépend de logiciels que ses visiteurs ne voient jamais. La meilleure réponse à la question de ce que les visiteurs doivent faire face à la vulnérabilité PHP est de rendre les identifiants volés moins utiles : des mots de passe uniques, la 2FA et l'attention aux alertes de violation. Pour une liste de vérification concise, lisez notre guide sur cinq façons de rester en sécurité en ligne après la faille PHP et mettez ces étapes en place pendant que les propriétaires de sites travaillent sur leurs correctifs.
