Le projet PHP a alerté sur la découverte de deux vulnérabilités critiques dans le code source du langage, évaluées à 9,2/10 selon le système de notation des vulnérabilités. Selon la communication officielle relayée par MacGeneration, ces failles pourraient permettre l'exécution de code à distance sans authentification, ce qui en fait des risques majeurs pour la sécurité des serveurs web.
Une publication contrôlée et des recommandations strictes
Les mainteneurs de PHP ont choisi de ne pas divulguer de détails techniques pour l'instant : ils préviennent que des informations complètes seront rendues publiques dans l'après-midi, au plus tard à 16 heures (heure française). En attendant la disponibilité des correctifs, la position des responsables du projet et du service de cybersécurité des institutions européennes est claire : mettre à jour PHP dès la diffusion des patchs ; si cela n'est pas possible immédiatement, il est conseillé d'isoler les serveurs vulnérables pour les rendre inaccessibles depuis Internet.
Un chercheur publie déjà une analyse — mais les autorités appellent à la prudence
Avant la publication complète des détails par l'équipe PHP, un chercheur identifié en ligne sous le pseudonyme J4ck3LSyN a publié une analyse et un code prétendument reproductible. Cette analyse mettrait en cause le suivi de la progression d'un téléversement (upload) dans le cadre d'une session PHP. Toutefois, l'un des responsables du développement du langage a indiqué que le contournement proposé par le chercheur — qui consiste à modifier certains fichiers de configuration — n'offre pas une protection complète.
- Gravité : 9,2/10 (score CVSS rapporté par les développeurs).
- Impact potentiel : exécution de code à distance sans authentification.
- Recommandation immédiate : appliquer les correctifs officiels dès leur publication ; isoler les serveurs si mise à jour impossible.
Mesures temporaires et limites
Un contournement partiel circulant consiste à désactiver le suivi de progression des uploads en ajoutant dans le fichier php.ini la ligne suivante :
session.upload_progress.enabled = Off
Après modification, il convient de recharger ou redémarrer le service PHP pour la prise en compte. Les développeurs insistent toutefois sur le fait que cette mesure ne couvre qu'une partie du problème et qu'une mise à jour complète restera essentielle pour sécuriser pleinement les environnements affectés.
| Versions concernées | Correctifs attendus |
|---|---|
| PHP 8.2 et supérieures (8.3, 8.4, 8.5) | Correctifs annoncés par le projet PHP |
| Branches 7.x | Pas de correctif prévu (branche abandonnée) — risque pour de nombreux serveurs encore en production |
Le projet précise que des correctifs devraient être fournis pour PHP 8.2 et les versions ultérieures. Aucun correctif n'est prévu pour les branches 7.x, qui restent néanmoins largement déployées dans le parc mondial — un point particulièrement préoccupant pour les organisations qui n'ont pas migré vers PHP 8.x.
Conséquences pour les responsables IT et les hébergeurs
La criticité élevée de ces failles implique une réaction rapide des administrateurs système, des équipes DevOps et des hébergeurs. Les sites publics, les applications métier, les plateformes de contenus et les services en ligne reposant sur PHP (gestionnaires de contenus, frameworks, API) doivent être identifiés, évalués et patchés dès la publication des correctifs. À défaut, l'isolation réseau des serveurs exposés reste la solution recommandée pour limiter une compromission.
Cette alerte rappelle que la maintenance des versions logicielles et la gestion des architectures restent des enjeux cruciaux pour la sécurité des médias et des services numériques. La présence d'analyses publiques et de codes exploitables avant la diffusion des patchs accentue la fenêtre de menace pour les systèmes non corrigés.
Sources : annonce officielle du projet PHP relayée par MacGeneration ; publication et analyse initiale par le chercheur identifié comme J4ck3LSyN ; recommandations du service de cybersécurité des institutions européennes, citées par la presse technique.
