Les correctifs PHP pourraient ne pas mettre fin aux risques de sécurité avant plusieurs mois, avertissent des experts

Les mises à jour de sécurité corrigeant des vulnérabilités de PHP ne mettront pas immédiatement fin aux risques pour les sites web et les systèmes utilisant ce langage de programmation, avertissent des experts en cybersécurité. Les anciennes versions pourraient ne plus recevoir de correctifs officiels, et les attaquants pourraient encore exploiter les systèmes qui n’ont pas été mis à jour ou retrouver l’accès grâce à une porte dérobée laissée par une intrusion antérieure, disent-ils. [1]

Le hacker éthique Wouter van Dongen affirme qu’appliquer un correctif colmate la vulnérabilité, mais n’annule pas une intrusion antérieure. Gert Heiremans, responsable de la technologie et de la sécurité chez itsme, une application belge d’identité numérique, avertit que le vol de données pourrait mettre du temps à être découvert. [1]

Richard Verbeek, de l’entreprise de services informatiques Fellowmind, affirme que les organisations devraient vérifier si des attaquants avaient déjà obtenu un accès avant de remettre un site web en ligne. Installer une mise à jour ne suffit pas, à lui seul, à établir que le site et les systèmes sous-jacents sont sécurisés, dit-il. [1]

Les experts s’attendent à ce que de nombreux systèmes dans le monde ne soient pas mis à jour immédiatement, ce qui en laisserait certains exposés pendant des mois. Ils estiment que la vague attendue de téléchargements de correctifs PHP ne devrait pas surcharger les systèmes. [1]