Une faille de sécurité critique dans PHP connue depuis 2024: le processus de correction a tourné à la crise

Une faille de sécurité critique dans PHP a été découverte en 2024, mais elle n'a pas été corrigée. La fondation PHP a publié une déclaration officielle révélant des retards importants dans la gestion de cette faille. Les premiers signes de la faille ont été détectés lors d'une vérification de sécurité financée par l'État allemand. La correction de la faille a été retardée pendant des mois, ce qui a mis en lumière des problèmes structurels au sein de la fondation. La faille de sécurité a également suscité des controverses lors de la publication de la correction.

Des informations détaillées sur la faille ont été divulguées sur Internet le 20 octobre. Une entreprise de sécurité a accidentellement publié une vidéo montrant un scénario d'attaque. Chainguard a partagé la correction six heures avant les autres annonces, violant ainsi l'embargo. La sécurité de PHP dépend d'un nombre limité de développeurs. La fondation PHP a souligné que la sécurité de PHP repose sur un petit groupe de développeurs. PHP étant largement utilisé dans les infrastructures Internet, les retards dans la correction des failles peuvent poser des risques importants.