Une discussion Reddit pousse à vérifier les mises à jour PHP

L'élément fourni est un post Reddit de style ELI5 qui avertit que le recours de PHP à setjmp et longjmp, issus du C, pourrait permettre à des attaquants d'enchaîner des failles. L'extrait ne cite ni CVE ni version PHP concernée. Aucun avis officiel ni date n'y figure.

La thèse du post repose sur le fait que PHP est écrit en C et utilise setjmp ainsi que longjmp pour gérer les erreurs. Selon son auteur, du code PHP traiterait mal certaines erreurs depuis environ 2004. La documentation décrivait déjà ces mécanismes comme difficiles à suivre à cette époque. Le post affirme qu'un attaquant pourrait provoquer une erreur, puis l'associer à une autre faiblesse. Il ne fournit toutefois ni preuve technique ni liste de versions touchées.

L'auteur estime que les LLM pourraient faciliter l'enchaînement de petites failles et relie ce risque présumé à des logiciels comme WordPress et Drupal. Il avance que 25 à 50 % des serveurs web pourraient être concernés, sans justifier cette estimation. Une mise à niveau vers des versions PHP qui n'utilisent plus les mécanismes cités est recommandée, sans numéro de version précis.

Les mesures proposées consistent à réduire la surface d'attaque et à limiter la conservation des données exposées. Renforcer l'infrastructure et assurer sa maintenance suivent sur la liste. La préparation à la réponse aux incidents la complète. AppArmor et SELinux sont mentionnés comme des moyens de limiter les conséquences après une intrusion. Le post fait référence à la loi de Weinberg et compare la situation aux découvertes de failles facilitées auparavant par les progrès du fuzzing. Sa conclusion est que les LLM révèlent des défauts existants au lieu de les créer.