La liste des fuites de cette nuit
La liste de toutes les fuites et attaques de cette nuit, avec les versions de PHP à pousser tout de suite.
Ce qui s'est passé pendant la nuit
| Cible | Ce qui a été touché |
|---|---|
| Banques américaines | Nuées d'agents qui tentent d'entrer dans leurs systèmes |
| Tous les sites en PHP | Faille critique, exécution de code à distance sans authentification |
| Railway | Toutes les clés API et variables d'environnement exposées |
| eMudhra | Fuite confirmée |
| Élèves de Californie depuis 2023 | Informations privées sorties |
| Japon | Plus de 10 millions de citoyens concernés |
| Automates Siemens | Activité coordonnée extrême signalée par le compte cyber de la NSA |
La faille PHP, dite php2shell
Elle touche toutes les installations de PHP qui répondent à des requêtes web, jusqu'aux versions anciennes. Elle permet de prendre le contrôle d'un site sans se connecter : des tests sur WordPress, Drupal et Joomla ont été repris de l'extérieur.
Le Premier ministre japonais a demandé aux organisations de vérifier si leur site tourne sous PHP, et de le couper le temps d'appliquer le correctif si la mise à jour ne peut pas être faite tout de suite. La NSA, le FBI et le NCSC britannique ont publié le même message le même jour.
Les versions corrigées, publiées le 21 octobre :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
- ou le paquet corrigé de ta distribution Linux
Téléchargements officiels : https://www.php.net/downloads Annonces de sécurité : https://www.php.net/ChangeLog-8.php
Railway : ce qu'il faut faire
Railway a repéré une activité anormale dans les systèmes qui stockent les variables d'environnement des clients. Un tiers a pu atteindre ces variables, et dans certains cas les déchiffrer.
- Fais tourner toutes tes variables d'environnement et toutes tes clés API stockées sur la plateforme.
- Regarde tes logs pour repérer les appels que tu n'as pas faits.
- Révoque les clés chez les fournisseurs en amont (bases de données, registres, services tiers).
Communiqué : https://blog.railway.com/p/security-disclosure-wednesday-october-21st
Les automates Siemens
Les PLC Siemens sont des petits ordinateurs qui pilotent des choses très concrètes : les groupes froids des supermarchés, les stations de traitement de l'eau. Ce sont les services dont on dépend tous les jours.
Page de sécurité industrielle Siemens : https://www.siemens.com/global/en/products/services/cert.html
Ce que tu peux vérifier de ton côté
- Si tu as un site, un blog ou une boutique : demande à ton hébergeur la version de PHP qui tourne dessus, et passe sur une version corrigée.
- Si tu héberges une application quelque part : change toutes tes clés API, pas seulement celles qui te semblent sensibles.
- Si tes données ont pu partir dans une fuite : change les mots de passe réutilisés ailleurs et active la double authentification.
Une question sur un point de la liste, réponds-moi directement dans ce message privé.