Failles critiques dans PHP : pourquoi vos achats en ligne et vos données bancaires sont menacés

Vous ne connaissez probablement pas PHP, mais vous l’utilisez chaque fois que vous payez sur Internet. En validant un panier, personne ne se soucie des rouages techniques d’un site web, et c’est bien normal. Pourtant, ce langage qui propulse des millions de boutiques en ligne s’apprête à corriger ce mercredi à 16 h deux vulnérabilités critiques. Une véritable course contre la montre pour les administrateurs, mais dont les répercussions concernent directement vos transactions.

Pour aller plus loin
Failles critiques dans PHP : alerte maximale et mise à jour d’urgence ce mercredi à 16 h

Pour comprendre l’ampleur du problème, il faut savoir que PHP est le moteur invisible qui assemble, côté serveur, les pages d’une grande partie du Web, des blogs WordPress aux boutiques WooCommerce ou Magento. D’après les chercheurs en cybersécurité de watchTowr, les deux failles découvertes permettent une exécution de code à distance (RCE). Concrètement, un attaquant peut envoyer ses propres commandes au serveur, qui va leur obéir aveuglément comme s’il s’agissait d’instructions légitimes. Plus inquiétant encore, le défaut se situe dans le cœur même du langage : un site WordPress parfaitement entretenu et à jour reste donc totalement exposé s’il repose sur une version de PHP vulnérable.

Ce qu’un pirate peut faire d’un serveur PHP

Une fois aux commandes du serveur, l’attaquant a l’embarras du choix pour monétiser son intrusion. Sur une boutique en ligne, la technique la plus rentable consiste à glisser discrètement un petit script espion au sein même de la page de paiement. Ce code malveillant va copier les numéros de carte bancaire à la volée, au moment précis où les clients les tapent. On appelle cela une attaque « Magecart », et le piège est redoutable : côté client, la commande passe normalement et personne ne voit rien.

Mais le vol de carte bleue n’est pas le seul risque. L’intrus peut tout aussi bien aspirer l’intégralité de la base de données du commerçant, qui contient vos adresses postales, votre historique d’achats et vos mots de passe (heureusement chiffrés dans la majorité des cas), ou détourner le site vers des pages de phishing.

Un précédent survenu en juin 2024 montre d’ailleurs que la menace n’a rien de théorique. Après la découverte de la faille CVE-2024-4577 (une autre brèche critique dans PHP qui touchait alors les serveurs Windows), le groupe de pirates TellYouThePass avait automatisé ses attaques en un temps record, installant des portes dérobées et chiffrant les données de ses victimes moins de 48 heures après la sortie du correctif.

Pourquoi le correctif ne règle pas tout

Paradoxalement, le danger grimpe en flèche au moment même où le correctif est publié. Dès sa mise en ligne, les pirates comparent l’ancien et le nouveau code pour localiser précisément la faille et lancer des attaques de masse contre les serveurs qui n’ont pas encore été mis à jour.

Or, patcher des millions de machines prend du temps. Beaucoup de petits commerçants utilisent un hébergement mutualisé, où des centaines de sites partagent le même serveur : le propriétaire de la boutique n’a pas la main sur la mise à jour de PHP et dépend entièrement de la réactivité de son hébergeur. Pire, une part importante du Web tourne encore sur de vieilles versions de PHP que le projet ne corrige plus, et qui resteront donc définitivement vulnérables. Enfin, un serveur compromis avant la mise à jour le reste après : le correctif bouche le trou, mais il ne déloge pas les programmes espions que l’intrus a déjà laissés derrière lui.

Quels réflexes adopter pour protéger ses achats ?

Même si vous n’avez aucun moyen de vérifier si votre boutique préférée est bien à jour, quelques réflexes simples permettent de limiter la casse dans les semaines à venir. Le plus efficace concerne le règlement : privilégiez systématiquement Apple Pay, Google Pay, PayPal ou une carte bancaire virtuelle à usage unique. Ces solutions vous évitent de taper votre vrai numéro de carte dans un formulaire potentiellement espionné par un script.

Côté compte client, les bonnes pratiques habituelles prennent tout leur sens : utilisez un mot de passe unique par site (idéalement généré et stocké dans un gestionnaire) et activez la double authentification lorsqu’elle est disponible. Ainsi, même si la base de données d’un petit site marchand est dérobée, les pirates ne pourront pas réutiliser vos identifiants ailleurs. Enfin, gardez un œil sur vos relevés bancaires et redoublez de méfiance face aux e-mails de « confirmation de commande » ou de « problème de livraison » trop pressants, qui servent souvent de prétexte au phishing après une fuite de données.