Gestion du document

Origine: bjCSIRT

Numéro: 2018/AVIS/002

Date de l’alerte: 02/04/2018

TLP: White

Aperçu de la menace

PHP est un langage de programmation destiné à servir du code coté serveur pour les applications web. Il supporte une grande variété de plateforme est le langage serveur le plus utilisé par les applications web.

De nombreuses vulnérabilités ont été découvertes dans ce langage dont le plus sévère permet l’exécution de code à distance.

Description

De nombreuses vulnérabilités ont été découvertes dans plusieurs versions du langage PHP dont une exécution de code à distance. Dépendant du contexte de l’application web qui utilise le langage PHP et des privilèges données à cette application, un attaquant peut installer des programmes sur le système cible, lire, supprimer ou modifier des données et même créer des comptes utilisateurs.

Les versions affectées sont :

• PHP 7.2 (<7.2.4)
• PHP 7.1 (<7.1.16)
• PHP 7.0 (<7.0.29)
• PHP 5.0 (<5.6.35

Le risque entraîné par ces vulnérabilités est considéré comme très élevée, mais aucun exploit ne semble encore circuler.

Mesures à prendre

Nous vous invitons à prendre les mesures suivantes :

• Vérifiez qu’il n’y pas eu des modifications systèmes non autorisés avant la mise à jour
• Mettre à jour immédiatement votre version de PHP.
• Appliquer le principe du moindre privilège pour vos applications, vos utilisateurs et service

Liens utiles