PHP, l'un des langages de programmation côté serveur les plus utilisés au monde et la colonne vertébrale d'une grande partie du web, est au cœur d'une alerte de sécurité d'envergure. Deux vulnérabilités critiques y ont été découvertes, poussant la Turquie à réagir officiellement : la présidence de la cybersécurité (Siber Güvenlik Başkanlığı) a publié une alerte à l'échelle nationale.

L'institution indique que les failles identifiées dans l'infrastructure PHP constituent un risque à l'échelle mondiale. Afin de détecter au plus tôt les effets possibles et de limiter les dégâts, elle a lancé des campagnes de scans de sécurité étendues sur l'ensemble du territoire turc.

Comment l'alerte a-t-elle été diffusée ?

Dans une publication sur son compte officiel sur les réseaux sociaux, la présidence a annoncé que des notifications de sécurité, avec un code d'urgence, avaient été transmises à toutes les institutions et organisations concernées. Les administrations publiques, les opérateurs d'infrastructures critiques et les acteurs du secteur privé ont été appelés à passer en revue leurs systèmes sans délai.

Le communiqué souligne que l'application immédiate des mises à jour de sécurité fournies par les éditeurs est d'une importance vitale pour l'intégrité des infrastructures numériques et la continuité ininterrompue des services critiques.

Trois mesures essentielles pour les organisations

Pour protéger leurs infrastructures, les organisations utilisant des applications basées sur PHP sont invitées à appliquer trois mesures fondamentales :

  1. Passage rapide aux versions sécurisées : dès la publication de la mise à jour de sécurité officielle par l'éditeur, les systèmes affectés doivent être identifiés un par un et mis à niveau d'urgence vers des versions sécurisées.
  2. Restriction des accès : les interfaces d'administration et les services PHP critiques doivent être durcis contre les accès extérieurs au moyen de règles de pare-feu (Firewall ou ACL) ; l'accès doit être limité aux seules adresses IP autorisées et fiables.
  3. Fermeture du trafic international : les systèmes qui n'ont pas besoin d'être accessibles depuis l'étranger doivent être fermés d'urgence au trafic international afin de se prémunir contre les vagues d'attaques mondiales.

La présidence précise que les travaux préventifs et la coordination au niveau national se poursuivent sans interruption, et rappelle que chaque organisation doit également auditer régulièrement la sécurité de ses propres systèmes.