PHP : une faille critique exploitable, contrairement aux affirmations initiales
Sommaire
En bref
- Un article viral affirmait qu'une faille PHP critique n'était en réalité pas exploitable, blâmant les LLM de produire de faux PoC.
- Des équipes de chercheurs en sécurité ont depuis démontré des RCE fonctionnels sur WordPress, Drupal et Joomla, contredisant directement cette thèse.
- Le débat porte sur l'écart entre la difficulté réelle d'exploitation et la nécessité de patcher immédiatement malgré tout.
Ce que dit la source
L'auteur prétendait que malgré un buzz médiatique intense, cette faille PHP n'était pas aisément exploitable, contrairement à Log4Shell ou Heartbleed. Il accusait les LLM de générer des centaines de faux PoC, tous non fonctionnels sur une instance PHP vanille, et d'injecter des vulnérabilités additionnelles (comme des LFI) pour simuler une exploitation réussie. Son argument : aucun vrai exploit n'existait 10 heures après la divulgation, malgré des milliers de tentatives.
- L'article provient d'une époque (quelques heures après la divulgation initiale) où seuls des PoC générés par LLM étaient en circulation, la plupart non fonctionnels.
- Wiz.io a publié peu après des exploits RCE confirmés contre les images Docker officielles de WordPress, Drupal et Joomla, contredisant l'hypothèse centrale de l'article.
- La PHP Security Team elle-même a confirmé une RCE sur PHP-FPM et une autre via mod_php sur Apache avec application réelle, invalidant la thèse du « rien de grave ».
- Des commentateurs en sécurité ont observé des exploitations en conditions réelles contre PHP 7.4, 8.1 et 8.4 en conteneurs standards.
- L'auteur demandait aux lecteurs de tester les PoC eux-mêmes plutôt que de se fier aux LLM, mais n'a pas anticipé que les chercheurs officiels allaient produire du code qui marche.
Dans les commentaires
Débat fermé : l'article a été contredit en quelques heures par les autorités techniques. Les commentateurs sont unanimes sur le fait que la faille est réellement exploitable ; le seul désaccord porte sur le degré de difficulté (plus dur que Log4Shell, mais loin d'être théorique).
- Plusieurs commentateurs soulignent que comparer la difficulté d'exploitation à Log4Shell était un mauvais angle : Log4Shell était exceptionnellement simple, et dire « ce n'est pas aussi facile » ne justifie pas de minimiser une RCE critique.
- Un argument récurrent : même si l'exploitation est plus complexe, la prémisse de l'article (« aucun exploit ne fonctionne ») s'est avérée fausse en pratique.
- Quelques commentateurs notent un problème de timing : l'article prétendait scruter le débat technique à chaud, mais avait manqué les recherches qui confirmaient l'exploitabilité réelle.
- Un commentateur (nallerooth) soupçonne que l'article lui-même niait implicitement la gravité pour une raison suspecte (« c'est ce qu'on dirait si on avait un exploit qui marche »).
Notre lecture
L'article tentait une critique utile (démontrer que les LLM produisaient du bruit sans compréhension), mais il s'est trompé sur les faits : la faille est réellement exploitable contre les CMS populaires et le runtime PHP lui-même. Le vrai enseignement n'est pas « ne pas patcher », c'est que même après quelques heures, les recherches sérieuses avaient trouvé du code qui marche. Les critiques sur la qualité des PoC générés par LLM restent valides, mais elles ne changent rien à la recommandation de patcher en urgence, que le texte semble paradoxalement contredire malgré ses avertissements.