Failles PHP et Brotli corrigées
Vous l’avez peut-être lu dans les médias : en octobre, plusieurs failles de sécurité graves ont été découvertes en quelques jours, dans des logiciels utilisés par une grande partie des sites web du monde entier. Ce genre de nouvelles inquiète, et beaucoup se demandent : mon site est-il aussi concerné ?
La réponse courte : non, vous êtes protégé. Nous avons corrigé les trois failles sur nos serveurs d’hébergement, à chaque fois le jour même où elles ont été rendues publiques. Si vous avez un hébergement web chez nous, vous n’avez rien à faire.
Faille de sécurité: Une erreur dans un programme qui permet à des personnes non autorisées de faire quelque chose d’interdit. On peut l’imaginer comme une fenêtre qui s’ouvre de l’extérieur alors qu’elle semble fermée.
Patch (mise à jour): La correction d’une telle faille. Pour reprendre l’image : une nouvelle serrure pour la fenêtre. « Patché » signifie donc que la correction est installée et que la fenêtre est de nouveau bien fermée.
CVE: Abréviation de « Common Vulnerabilities and Exposures ». Chaque faille connue publiquement reçoit un numéro unique au niveau mondial, par exemple CVE-2026-109618. C’est comme un numéro de dossier : ainsi, tous les éditeurs et hébergeurs savent exactement de quelle faille il s’agit.
PHP: Le langage de programmation qui fait fonctionner la plupart des sites web, par exemple tous les sites WordPress, Joomla ou Shopware. PHP tourne sur le serveur, vos visiteurs n’en voient rien.
Brotli: Un procédé pour réduire la taille des données afin qu’elles soient transmises plus rapidement. Semblable à un fichier ZIP, mais invisible, en arrière-plan.
Les trois failles en un coup d’œil
PHP2Shell : sécurisé le jour même
Le 21 octobre, une faille particulièrement dangereuse a été publiée dans PHP sous le nom « PHP2Shell ». Elle était si dangereuse surtout parce qu’un mode d’emploi prêt à l’emploi pour des attaques est apparu en même temps sur Internet. Nous avons donc protégé nos serveurs en quelques heures, puis mis à jour toutes les versions de PHP vers une version corrigée.
Si vous avez remarqué quelque chose ce jour-là : par mesure de protection, le téléversement de fichiers sur les sites et la connexion à Plesk (votre interface de gestion) ont été limités pendant quelques heures. Depuis le 22 octobre, tout fonctionne de nouveau normalement.
Une remarque pour les sites utilisant d’anciennes versions de PHP (5.6 à 8.1) : les développeurs de PHP ne fournissent plus de corrections pour ces versions. Pour que votre site reste tout de même sûr, ces versions tournent désormais chez nous dans une version qui continue de recevoir des mises à jour de sécurité. Pour vous, rien ne change, seul le nom de la version PHP dans Plesk peut légèrement différer. Si vous travaillez de toute façon sur votre site, le passage à PHP 8.3 ou plus récent en vaut la peine.
Indicateur d’upload désactivé par précaution
Deux jours plus tard, le 23 octobre, une deuxième erreur dans PHP a été rendue publique. Elle se trouve dans une petite fonction supplémentaire rarement utilisée, qui peut indiquer où en est le téléversement d’un fichier. Il n’existe pas encore de correction pour cette erreur. Nous avons donc tout simplement désactivé cette fonction.
Le téléversement de fichiers lui-même fonctionne tout à fait normalement. Presque tous les sites affichent leur barre de progression d’une autre manière et ne remarqueront rien. Dès que la correction sera disponible, nous réactiverons la fonction.
Brotli : tout est à jour
Le 26 octobre a suivi une faille dans Brotli, le procédé de réduction des données. Les sites web ordinaires sous WordPress et autres n’étaient guère concernés, il s’agissait plutôt d’applications web programmées avec Node.js ou .NET. Nous avons mis à jour tous les programmes concernés sur nos serveurs. En outre, nos serveurs refusent les requêtes suspectes emballées avec Brotli. Un navigateur normal n’envoie jamais ce genre de chose, vos visiteurs ne remarqueront donc rien.
Seulement si vous exploitez votre propre application web : les très anciennes versions (Node.js 21 et antérieures, .NET 7 et antérieures) ne sont plus maintenues par leurs éditeurs et ne recevront pas de correction. Dans ce cas, veuillez passer votre application à une version actuelle dans Plesk.
Votre propre serveur ? C’est à vous de jouer
Si vous avez votre propre serveur chez nous (serveur root ou serveur virtuel), vous le gérez vous-même. Vous devriez y installer les dernières mises à jour. Vous préférez nous confier cette tâche ? Ouvrez alors un ticket pour votre serveur dans l’espace client sous https://admin.firestorm.ch et choisissez la tuile « Upgrade ». Cette prestation est payante, vous en voyez le coût directement lors de la création du ticket.
Nous restons vigilants
Nous vérifions en permanence et automatiquement les nouveaux avis de sécurité, jour et nuit. Si une faille susceptible de toucher votre site est connue, nous agissons immédiatement. Ainsi, vous vous occupez de vos affaires et nous de la sécurité.
