Des failles critiques dans PHP déclenchent une mobilisation mondiale en matière de cybersécurité

Les gouvernements, les agences de cybersécurité et les grandes organisations du monde entier se sont empressés de sécuriser leurs systèmes après la découverte de deux failles critiques dans PHP, l’un des langages de programmation web les plus utilisés sur Internet. Ces failles, qui seraient restées inconnues pendant plus d’une décennie, ont été identifiées par des chercheurs à l’aide d’outils avancés d’intelligence artificielle et sont considérées comme faisant partie des problèmes de sécurité web les plus importants de ces dernières années.

Ces vulnérabilités sont suffisamment graves pour que les agences nationales de cybersécurité du Royaume-Uni, des États-Unis, d’Europe, d’Australie et du Japon aient exhorté les organisations à appliquer immédiatement les mises à jour de sécurité ou à envisager de mettre hors ligne les systèmes concernés jusqu’à ce que des correctifs puissent être déployés. Plusieurs organisations, notamment des sites web gouvernementaux, des services publics et des plateformes médiatiques, ont temporairement restreint l’accès ou mis leurs systèmes hors ligne par mesure de précaution.

Les chercheurs en sécurité estiment que ces failles pourraient potentiellement affecter une grande partie des infrastructures connectées à Internet, y compris les sites web développés sur des plateformes populaires telles que WordPress, Drupal et Joomla. Ces vulnérabilités pourraient permettre à des attaquants d’exécuter à distance du code malveillant, ce qui pourrait entraîner la compromission de sites web, le déploiement de logiciels malveillants et le vol de données.

Bien que des correctifs aient désormais été publiés, les experts avertissent que les organisations doivent agir rapidement pour identifier les systèmes vulnérables et surveiller tout signe de tentative d’exploitation. Cet incident met en évidence à la fois le rôle croissant de l’IA dans la cybersécurité et les risques généralisés associés aux vulnérabilités des technologies fondamentales d’Internet.

Des millions de tentatives d’exploitation font suite à la divulgation d’une faille critique dans PHP

Les experts en cybersécurité exhortent les organisations à appliquer immédiatement les correctifs à leurs systèmes après la détection de millions de tentatives d’exploitation des vulnérabilités PHP récemment révélées, quelques heures seulement après la divulgation publique de ces failles. PHP est l’un des langages de programmation web les plus utilisés au monde, alimentant une part importante des sites web et des applications accessibles sur Internet.

Selon les principaux fournisseurs de technologies, les attaquants se sont empressés d’exploiter ces failles. Cloudflare a signalé que les tentatives d’exploitation étaient passées de quelques milliers avant la divulgation publique à plusieurs millions en l’espace de quelques heures, tandis qu’Amazon Web Services a averti que ces failles étaient déjà activement exploitées dans la nature. Les chercheurs en sécurité estiment que les acteurs malveillants avaient tenté de tirer parti de ces vulnérabilités avant même que les détails ne soient officiellement annoncés.

La gravité de ces failles a incité les agences gouvernementales et les organisations du monde entier à prendre des mesures de précaution, notamment en mettant temporairement leurs sites web hors ligne le temps que les mises à jour de sécurité soient appliquées. Les autorités britanniques, américaines, australiennes et européennes ont toutes exhorté les organisations à déployer sans délai les correctifs disponibles.

Les experts avertissent que cette vulnérabilité pourrait offrir aux attaquants un accès direct pour compromettre des serveurs web, installer des logiciels malveillants, voler des données ou perturber des services. Les outils d’attaque automatisés et les capacités basées sur l’IA accélérant les tentatives d’exploitation, il est conseillé aux organisations non seulement d’appliquer les correctifs aux systèmes concernés, mais aussi d’examiner les journaux à la recherche de signes de compromission et de surveiller toute activité malveillante en cours.

Un mot de passe faible à l’origine d’une fuite de données concernant des milliers d’enfants

Les autorités britanniques chargées de la protection des données ont sanctionné Ogi Networks Limited (ONL) et Data Cymru après qu’une cyberattaque a exposé les informations personnelles d’environ 3 300 personnes, pour la plupart des enfants, via un compte protégé par le mot de passe « Password1 ».

Selon l’Information Commissioner’s Office (ICO), les attaquants ont exploité un compte de test inactif, baptisé « Test2 », qui était resté actif pendant plus de 12 ans sans avoir été correctement vérifié ni supprimé. Cette attaque par ransomware a entraîné le vol de 42 Go de données et le chiffrement de près de 183 Go d’informations, affectant des projets d’aide aux enfants et aux familles.

Les enquêteurs ont constaté que les deux organisations n’avaient pas mis en place de contrôles de cybersécurité adéquats et n’avaient pas clairement défini les responsabilités en matière de protection des systèmes concernés. L’ICO a déclaré que cet incident mettait en évidence à quel point un simple mot de passe faible et un compte inutilisé pouvaient constituer un risque de sécurité important.

À la suite de cette violation, les deux organisations ont mis en place des mesures de sécurité renforcées, notamment l’authentification multifactorielle (MFA), des contrôles d’accès plus stricts, des vérifications régulières des comptes et la mise à jour des accords de traitement des données. Cet incident rappelle l’importance des pratiques élémentaires de cyberhygiène, telles que la suppression des comptes inactifs, l’imposition de mots de passe forts et l’audit régulier des accès des utilisateurs afin de réduire le risque de compromission.

Découverte d’un agent de cyberattaque autonome basé sur l’IA

Des chercheurs en sécurité ont mis au jour un agent de cyberattaque sophistiqué, alimenté par l’IA, capable de mener une chaîne d’attaque complète sans intervention humaine. Cet outil autonome a été conçu pour effectuer de manière indépendante jusqu’à 100 000 actions malveillantes, notamment la recherche de cibles vulnérables, l’exploitation de failles de sécurité, le vol d’identifiants, le déploiement de mineurs de cryptomonnaie et le maintien de sa présence sur les systèmes compromis.

L’agent IA a été découvert par l’équipe Threat Hunter de Symantec grâce à un « honeypot » d’IA conçu pour attirer les attaquants ciblant les infrastructures d’intelligence artificielle. Les chercheurs ont capturé le jeu d’instructions du logiciel malveillant et ont constaté qu’il avait été conçu pour détourner des services de grands modèles linguistiques (LLM) exposés, une technique connue sous le nom de « LLMjacking », permettant aux attaquants d’utiliser des ressources d’IA tierces tout en évitant la détection et les coûts opérationnels.

L’analyse a révélé que l’agent avait accès à des dizaines d’outils offensifs capables d’effectuer de la reconnaissance, d’exploiter des vulnérabilités, de voler des bases de données, de collecter des identifiants et de gérer des botnets. Les instructions comprenaient également des techniques destinées à contourner les contrôles de sécurité intégrés aux modèles d’IA commerciaux et à dissimuler les activités malveillantes sous l’apparence de tâches légitimes d’administration système.

Bien que ces méthodes d’attaque prises isolément ne soient pas nouvelles, les chercheurs soulignent que leur combinaison au sein d’un agent IA autonome réduit considérablement les obstacles à l’entrée pour les cybercriminels. Cette découverte met en évidence une évolution croissante du paysage des menaces, où l’IA ne se contente plus d’assister les attaquants, mais agit de plus en plus comme le moteur qui planifie et mène les cyberopérations de manière autonome.

Une vulnérabilité critique de GitLab permet l’exécution de code à distance sur des serveurs autogérés

GitLab a publié des mises à jour de sécurité d’urgence pour corriger une vulnérabilité critique d’exécution de code à distance (RCE), référencée sous le numéro CVE-2026-110264, qui présente un score CVSS maximal de 10,0. Cette faille affecte toutes les installations GitLab autogérées depuis la version 7.0, ce qui signifie que des systèmes exécutant des versions du logiciel remontant jusqu’à 2014 pourraient être vulnérables.

Selon GitLab, cette vulnérabilité provient d’un débordement d’entier dans le moteur de traitement des expressions régulières de la plateforme. Dans certaines conditions, un attaquant non authentifié pourrait exploiter cette faille pour exécuter du code arbitraire sur un serveur vulnérable sans avoir besoin de se connecter. Bien qu’il n’y ait actuellement aucune preuve que cette vulnérabilité ait été exploitée en conditions réelles, les experts en sécurité avertissent que sa gravité et son ampleur justifient une correction rapide.

GitLab a publié des correctifs pour plusieurs versions prises en charge et anciennes, une mesure inhabituelle qui reflète la gravité du problème. L’entreprise a également publié des règles de détection pour aider les administrateurs à identifier les tentatives d’exploitation potentielles.

Seuls les environnements GitLab autogérés sont concernés, tandis que GitLab.com et les instances mises à jour de GitLab Dedicated intègrent déjà le correctif. Il est vivement recommandé aux organisations utilisant des déploiements auto-hébergés d’appliquer immédiatement les dernières mises à jour, car GitLab n’a proposé aucune solution de contournement alternative. Cette vulnérabilité est la dernière d’une série de failles de gravité élevée affectant le moteur d’expressions régulières de GitLab et rappelle une nouvelle fois l’importance d’une gestion rigoureuse des correctifs pour les plateformes de développement connectées à Internet.

Si l'une des menaces décrites dans ce bulletin vous préoccupe ou si vous avez besoin d'aide pour déterminer les mesures à prendre afin de vous protéger contre les menaces les plus graves auxquelles votre organisation est confrontée, veuillez contacter votre chargé de compte oucliquer icipour découvrir comment protéger votre organisation.

Le « Threat Intel Roundup » a été rédigé par Integrity360 afin de résumer l’actualité des menaces telle que nous l’observons, à la date de publication. Il ne doit en aucun cas être considéré comme un avis juridique, un conseil en matière de consultation ou tout autre conseil professionnel. Toute recommandation doit être envisagée dans le contexte propre à votre organisation. Integrity360 n'adopte aucune position politique dans les informations qu'elle partage. De plus, les opinions exprimées ne reflètent pas nécessairement le point de vue d'Integrity360.