Les vulnérabilités critiques en PHP

CVE-2024-4577 : une faille majeure dans PHP

En février 2024, une vulnérabilité critique (CVE-2024-4577) a été identifiée dans toutes les versions de PHP, de la série 5.X à 8.3.X, affectant spécifiquement les serveurs Windows. Cette faille permettait l'exécution de code arbitraire à distance via une mauvaise gestion des conversions d'encodage. Les conséquences étaient graves : des groupes malveillants ont exploité cette faille pour déployer des ransomwares tels que TellYouThePass, compromettant des milliers de serveurs. Un correctif a été rapidement publié, mais de nombreux systèmes sont restés vulnérables en raison de retards dans les mises à jour.

Comment la faille a-t-elle été exploitée ?

Les attaquants ont utilisé des scripts malveillants pour exécuter des commandes à distance et installer des backdoors. Voici un exemple de script vulnérable :

<?php

$input = $_GET['cmd'];

eval($input); // Permet l’exécution de code arbitraire

?>

Un script PHP vulnérable comme celui-ci peut être exploitable via une simple requête HTTP contenant du code malveillant dans le paramètre cmd. Cela met en lumière l'importance d'échapper les entrées utilisateur et de restreindre l'utilisation de fonctions dangereuses comme eval.

Déclinaison en ransomware

Le ransomware TellYouThePass s'est rapidement propagé en exploitant cette faille. Une fois installé, il cryptait les fichiers critiques et exigeait une rançon en cryptomonnaie pour débloquer l’accès aux données.

WordPress : une cible de choix pour les attaquants

En 2024, 43% des sites internet dans le monde utilisait le CMS WordPress. Avec une telle popularité, les cybercriminels privilégient les attaques sur les sites utilisant ce système de contenu. Ainsi, avec la même faille de sécurité, ils touchent plus de monde.

Cette année, plusieurs failles critiques ont été découvertes dans des plugins populaires et des thèmes, exposant des millions de sites à des attaques. Une faille détectée dans le plugin LiteSpeed Cache, utilisé par plus de 5 millions de sites, permettait à des attaquants non authentifiés de se connecter en tant qu’administrateurs. Le problème était lié à une mauvaise vérification des jetons CSRF, permettant des modifications malveillantes. Des correctifs ont été déployés, mais de nombreux administrateurs n’ont pas mis leur plugin à jour à temps et ont été victimes d'attaque aboutie. Également, un thème WordPress très utilisé a exposé 25 000 sites à une exécution de code arbitraire. Les attaquants ont exploité une fonction PHP mal sécurisée, permettant le téléchargement de fichiers contenant des scripts malveillants.

Voici le code vulnérable fréquemment trouvé :

if (isset($_FILES['file'])) {

    move_uploaded_file($_FILES['file']['tmp_name'], '/uploads/' . $_FILES['file']['name']);

}

Ce type de code, mal protégé contre les injections, permet à des attaquants d’uploader des fichiers malveillants tels que des shell PHP. Des attaques utilisant ce mécanisme ont été largement observées en 2024.

Mauvaises pratiques de sécurité identifiées sur les sites WordPress

En 2024, un audit massif a révélé que près de 30 % des sites WordPress utilisent encore des versions obsolètes de PHP (5.6 ou 7.0), contenant des vulnérabilités non corrigées. De plus, les mots de passe faibles et les permissions excessives sur les fichiers ont également été identifiés comme des vecteurs d’attaque fréquents.

Campagnes de phishing : une menace évolutive

En 2024, les campagnes de phishing ont atteint un niveau de sophistication sans précédent. L’intelligence artificielle a été largement utilisée pour personnaliser les attaques, augmentant leur taux de réussite.

Exemple 1 : Institutions françaises

Rien de nouveaux sous le solein. les hackers aiment bien se faire passer pour la Direction générale des Finances publiques. Cette année encore, des e-mails aux couleurs de la Direction générale des Finances publiques promettant des remboursements fiscaux ont été largement diffusés. Ces messages contenaient des liens menant à des pages factices, subtilisant les identifiants des utilisateurs. Ces pages étaient si bien réalisées qu’elles étaient indétectables pour l’utilisateur moyen.

Exemple 2 : Jeux Olympiques 2024

Une campagne ciblant les gendarmes offrait des billets gratuits pour les JO, les redirigeant vers des formulaires malveillants. Ces attaques ont mis en évidence la capacité des attaquants à manipuler des populations ciblées en jouant sur des émotions fortes. Ainsi, même dans les services publics, il ne faut pas négliger la formation des agents à la cybersécurité.

Exemple 3 : E-mails personnalisés grâce à l’IA

L’intelligence artificielle a permis de générer des e-mails utilisant des informations préalablement volées, rendant les tentatives d’hameçonnage encore plus convaincantes. Les victimes se voyaient demander des informations sensibles, telles que des identifiants bancaires ou professionnels, sous couvert de prétendues mises à jour de sécurité.

Pour éviter de tomber dans le pièce de ces campagnes, apprenez à reconnaître les mails de phishing.

Recommandations pour renforcer la sécurité

Les cyberattaques deviennent de plus en plus sophistiquées, exploitant des vulnérabilités techniques et humaines. Pour renforcer la résilience des systèmes, il est essentiel de suivre des pratiques de sécurité rigoureuses. Voici les principales recommandations que nos experts WordPress et Joomla peuvent vous faire :

Mises à jour systématiques

Maintenir vos systèmes à jour est fondamental pour combler les failles de sécurité connues. Les administrateurs doivent :

• Installer les dernières versions de WordPress, PHP et leurs extensions.

• Activer les mises à jour automatiques pour les composants critiques.

• Surveiller les correctifs publiés par les fournisseurs pour réagir rapidement. Des outils comme WP Updates Notifier ou Patchstack peuvent être employés pour garantir une surveillance continue.

Validation et échappement des entrées utilisateur

Les attaques par injection SQL et XSS exploitent souvent des entrées utilisateur non validées. Pour prévenir ces risques :

• Utilisez des bibliothèques telles que PDO ou mysqli pour gérer les requêtes SQL avec des paramètres préparés.

• Validez et échappez toutes les données entrées par l’utilisateur avant de les afficher ou de les stocker.

• Implémentez des filtres stricts pour chaque champ de formulaire. Voici un exemple de validation sécurisée :

$stmt = $pdo->prepare('SELECT * FROM users WHERE id = ?');
$stmt->execute([$_GET['id']]);

Formation au phishing

Les campagnes de phishing visent à manipuler les utilisateurs pour obtenir des informations sensibles. Pour limiter leur impact :

• Organisez des ateliers de sensibilisation pour détecter les e-mails frauduleux.

• Distribuez des guides illustrant les signes communs des arnaques, comme des fautes d’orthographe ou des URLs suspectes.

• Utilisez des simulations de phishing pour évaluer et renforcer la vigilance des employés.

Déploiement de plugins de sécurité

Les outils de sécurité aident à surveiller et protéger les systèmes en temps réel. Installez des plugins comme :

• Wordfence : pour analyser les fichiers, bloquer les tentatives de connexion malveillantes et surveiller le trafic.

• Sucuri Security : pour détecter les malwares et fournir un pare-feu de protection. Ces plugins offrent également des rapports d’activités pour identifier les anomalies rapidement.

Réduction des permissions

Limiter les droits d’accès est une stratégie efficace pour minimiser les risques. Les administrateurs devraient :

• Restreindre les permissions aux fichiers et dossiers critiques (éviter les droits en “777”).

• Contrôler régulièrement les comptes utilisateurs actifs et révoquer ceux inutilisés.

• Utiliser des solutions comme Cloudflare pour ajouter une couche de protection supplémentaire.

Tests de pénétration

Les tests de pénétration permettent d’évaluer les systèmes face à des attaques simulées. Engagez des professionnels pour :

• Identifier les failles potentielles avant qu’elles ne soient exploitées.

• Proposer des recommandations pratiques pour renforcer la sécurité. Les outils open source comme Metasploit ou Burp Suite peuvent également être utilisés pour des tests internes.

L’année 2024 a mis en lumière la nécessité d’une vigilance constante face à des attaquants toujours plus sophistiqués. Seule une approche proactive, combinant mises à jour techniques, sensibilisation humaine et outils de sécurité, peut garantir la résilience des systèmes informatiques.