Résumé

  • Après la divulgation de deux failles critiques d’exécution de code à distance, ICANN a temporairement coupé trois sites reposant sur PHP.
  • Les systèmes de candidature et de publication des nouveaux gTLD sont restés disponibles ; les trois sites ont rouvert après un correctif testé.

La réaction d’ICANN a tracé une frontière nette dans son propre environnement web : trois sites se sont éteints, tandis que les systèmes qui reçoivent les candidatures aux nouveaux domaines génériques de premier niveau et publient leurs résultats sont restés en service. La différence tenait au logiciel sous-jacent.

Le 21 octobre, le projet PHP a publié un avis de sécurité sur deux failles critiques pouvant permettre l’exécution de code à distance sans authentification. La première concernait le traitement d’un manque de mémoire pendant le nettoyage d’une requête ; la seconde, la réutilisation d’un état interne après la libération de la mémoire qui le contenait. Le projet a publié les correctifs PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

ICANN a indiqué avoir temporairement désactivé le site de l’Organisation de soutien aux extensions génériques (GNSO) et ceux des éditions 2026 et 2012 du programme des nouveaux gTLD, car ils fonctionnaient avec PHP. L’organisation a déclaré qu’aucun indice ne signalait un impact négatif sur ses systèmes. Le système de publication des candidatures et statistiques (APS) et le système de gestion des candidatures aux domaines de premier niveau (TAMS) sont restés disponibles : ils n’étaient pas fondés sur PHP.

Cette séparation comptait pour les candidats. Le Guide du candidat de l’édition 2026 restait accessible depuis ICANN.org pendant l’indisponibilité du site du programme. Le 22 octobre, ICANN a annoncé avoir appliqué et testé le correctif de la PHP Foundation, puis rétabli les trois sites.

L’interruption a été brève, mais sa frontière était visible. Les sites publics partageaient un environnement PHP vulnérable ; les systèmes de candidature et de publication en étaient séparés. Un itinéraire temporaire a gardé accessible le document de référence du programme. La séquence montre où la dépendance logicielle s’arrêtait : à un groupe de sites, sans s’étendre à chaque service associé au programme.

ICANN n’a pas précisé les versions PHP installées sur ces trois sites. Son compte rendu décrit tout de même la séparation des services : les sites ont été isolés, les systèmes centraux sont restés disponibles, puis le retour a suivi un correctif testé.

Sources : La réponse et le rétablissement annoncés par ICANN ; l’avis de sécurité du projet PHP.