(Minghui.org) Au cours de la semaine dernière, des vulnérabilités de sécurité majeures ont été signalées dans les environnements d’exécution PHP, Node.js et Go. Les administrateurs qui gèrent des serveurs utilisant ces technologies, y compris des systèmes de gestion de contenu populaires comme WordPress, doivent agir pour protéger leurs services contre toute exploitation potentielle.
Depuis le 21 octobre, les agences mondiales de cybersécurité et les canaux officiels pour PHP et Node.js ont publié des bulletins de sécurité critiques concernant les vulnérabilités qui permettent à des attaquants non autorisés d’exécuter du code à distance (RCE) ou de déclencher une attaque par déni de service (DoS).
Puisque les vulnérabilités existent dans l’exécution du langage ou les bibliothèques intégrées, la simple mise à jour d’applications frontales comme les plugins WordPress ou les packages npm ne protégera pas un serveur ; l’exécution du langage lui-même doit être mise à niveau.
Vulnérabilités dans les principales piles technologiques
1) Vulnérabilité PHP (PHP2Shell)
– Vulnérabilités d’exécution de code à distance : CVE-2026-109618, CVE-2026-109619 (score CVSS 9.2, risque critique)
– Résumé : Des failles existent dans la gestion de la mémoire sous-jacente et le traitement de l’état global. Lorsqu’une erreur de type « out-of-memory » (OOM) est déclenchée, elle peut entraîner une corruption de la mémoire ou l’utilisation d’un état périmé par une requête ultérieure traitée par le même worker.
- Portée de l’impact : tous les sites et serveurs PHP non corrigés. Les attaquants peuvent lancer des attaques sans aucun identifiant ni privilège.
2) Node.js
Le décodeur Brotli et les vulnérabilités de sécurité réseau incluent CVE-2026-111497 (écriture hors limites de la mémoire Brotli) et plusieurs vulnérabilités d’authentification TLS/DNS.
- Résumé : Le décodeur de données compressées Brotli intégré présente un défaut d’écriture hors limites en mémoire ; il risque également de contourner la vérification des identifiants et des noms d’hôtes.
- Portée de l’impact : gestion des données compressées Brotli non fiables, des connexions réseau externes et des services Node.js pour les serveurs proxy.
3) Go Langage et cadres associés
– Des correctifs de sécurité ont été publiés pour les protocoles réseau pertinents, les bibliothèques standard et les frameworks open source grand public, tels que les proxys HTTP et les interfaces de gestion réseau.
– Portée de l’impact : services cloud natifs qui utilisent des versions spécifiques des modules Go ou qui en dépendent.
Actions urgentes pour les administrateurs de serveur
Les vérifications de dépendance traditionnelles des packages (telles que package.json ou composer.json scans) ne peuvent pas détecter de vulnérabilités dans l’exécution. Il est nécessaire de vérifier la version d’exécution exécutée sur le serveur et/ou les conteneurs.
Les anciennes versions des environnements d’exécution qui ont atteint la fin de leur vie (comme PHP en dessous de la version 8.2 ou Node.js en dessous de la version 20) ne recevront pas de correctifs officiels. Les applications exécutées sur ces versions en fin de vie doivent être mises à niveau vers une version prise en charge, corrigée ou isolée d’Internet.
Si les ressources sont limitées, les administrateurs de serveur peuvent suivre ces étapes dans l’ordre suivant :
1) Inventaire rapide des ressources (vérification de la version)
Connectez-vous à chaque serveur ou conteneur et confirmez si la version de l’exécution du langage est impactée.
– Pour PHP, vérifiez si la version actuelle est plus ancienne que la version corrigée (voir liste ci-dessous). Note : Certaines distributions Linux rétrochargent des correctifs, donc les versions plus anciennes que 8.2 peuvent encore recevoir des correctifs. Vérifiez les annonces officielles ou les journaux de package pour votre distribution.
– Pour Node.js, vérifiez si vous utilisez une version 22.x, 24.x ou 26.x affectée.
2) Mise à niveau immédiate vers une version corrigée
Mettez à niveau votre environnement vers la version corrigée correspondante ci-dessous et redémarrez le processus de service (tel que PHP-FPM ou l’application Node) pour vider la mémoire résiduelle :
– Patch des versions PHP :
Série PHP 8.5 : mise à niveau vers la version 8.5.12 (ou supérieure)
Série PHP 8.4 : mise à niveau vers la version 8.4.27 (ou supérieure)
Série PHP 8.3 : mise à niveau vers la version 8.3.36 (ou supérieure)
Série PHP 8.2 : mise à niveau vers la version 8.2.35 (ou supérieure)
- Patch des versions Node.js :
Node.js 22.x : mise à jour vers 22.23.4 (ou supérieure)
Node.js 24.x : mise à jour vers 24.22.1 (ou supérieure)
Node.js 26.x : mise à jour vers 26.12.1 (ou supérieure)
Remarque : La prise en charge de Node.js 20 et des versions antérieures est terminée. Vous devez mettre à niveau vers une version prise en charge dès que possible.
3) Reconstruction de conteneurs et d’images
Si vous utilisez Docker ou d’autres conteneurs cloud-natifs, il ne suffit pas de changer la balise ; l’image doit être reconstruite pour s’assurer que l’exécution sous-jacente est mise à jour et que le service est redéployé.
Vérifiez votre pare-feu d’application Web (WAF) ou votre équilibreur de charge pour confirmer si les règles de protection contre le trafic POST anormal et les paquets compressés malveillants sont activées.
Ce qui précède n’est qu’un aperçu. Dans des cas spécifiques, le personnel technique doit d’urgence identifier et éliminer les risques en fonction de leurs environnements respectifs afin de maintenir la sécurité de l’information.
Traduit de l’anglais
Copyright © 1999-2026 Minghui.org. Tous droits réservés.
