Hier, l'équipe sécurité de PHP a publié un préavis : une release de sécurité est programmée aujourd'hui, mercredi 21 octobre, à 14h UTC (16h à Paris).
Elle corrige deux vulnérabilités critiques, toutes les deux notées 9.2 en CVSS v4.0.
Un préavis de ce genre, ce n'est pas de la routine. Et quand on sait que PHP fait encore tourner environ 70 % des sites dont le langage serveur est connu (chiffres W3Techs), je vous laisse imaginer la surface d'attaque.
Pour l'instant, rien n'est publié : ni les détails, ni les versions touchées.
Mais il faut bien retenir une chose : à 16h, le correctif devient public, et le diff avec.
Un attaquant un minimum sérieux n'a qu'à comparer deux tags sur GitHub pour savoir exactement où taper, et avec un LLM pour lui mâcher la lecture du patch, l'exploit ne se compte plus en semaines mais en heures.
Donc ceux qui comptent patcher "la semaine prochaine" laissent la porte ouverte pile au moment où les scans de masse démarrent.
Et les plus mal barrés, ce ne sont pas ceux qui sont sur une version maintenue.
Ce sont ceux qui tournent encore sur PHP 8.1 ou plus ancien : les dernières releases de sécurité de septembre ne couvraient que les branches 8.2 à 8.5, donc pour les autres, il n'y aura probablement aucun correctif.
Pour rappel, W3Techs comptait encore 6,6 % des sites web sur PHP 5 en début d'année.
Ceux-là n'ont pas une mise à jour à faire, ils ont une migration en retard.
Je vous le demande sans détour, faites ça aujourd'hui :
- Inventoriez toutes vos machines, conteneurs et images Docker qui embarquent PHP, avec leur version exacte.
- Préparez votre montée de version et bloquez un créneau de déploiement dès 16h.
- Gardez un œil sur php.net : l'équipe se réserve le droit de sortir le patch plus tôt si une exploitation active apparaît.
- Si vous dépendez des paquets de votre distribution ou de votre hébergeur mutualisé, vérifiez dès maintenant quand ils backportent, car ce délai devient votre délai d'exposition.
- Si vous êtes sur une version en fin de vie, considérez que vous êtes déjà exposé et planifiez la migration cette semaine.
Reste une question que je pose à chaque fois et à laquelle peu de boîtes savent répondre : si un patch critique tombait à 16h, combien de temps vous faudrait-il, honnêtement, pour qu'il soit en production partout ?
