Faille PHP critique : sites publics hors ligne

Une vulnérabilité critique de PHP, révélée le 21 octobre 2026, a contraint des agences gouvernementales en Europe et ailleurs à mettre leurs sites hors ligne pour appliquer des correctifs d’urgence. PHP, langage de script open source qui fait tourner environ 70 % des sites web au langage identifiable, dont WordPress, Wikipédia et Slack, contient deux failles permettant une exécution de code à distance non authentifiée. La gravité a provoqué des retraits préventifs en Belgique, aux Pays-Bas, en Finlande, en France et en Allemagne, le service néerlandais d’identité numérique DigiD et le port de Rotterdam figurant parmi les systèmes suspendus.

Qu’est-ce que la faille PHP et comment a-t-elle été découverte ?

Les deux failles, CVE-2026-109618 et CVE-2026-109619, affichent un score CVSS de 9,2 et touchent PHP 5.4 à 8.5.11. Des chercheurs, assistés par intelligence artificielle, ont identifié ces vulnérabilités vieilles d’une décennie, décrites par la PHP Foundation comme les plus importantes jamais trouvées par l’IA. Les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35 sont sorties le 21 octobre. Apache avec mod_php est particulièrement exposé, PHP-FPM, php-cgi, FrankenPHP et LiteSpeed pouvant aussi être concernés. L’incident illustre les risques des failles de sécurité open source qui restent cachées pendant des années.

Quels sites gouvernementaux ont été mis hors ligne ?

Les arrêts préventifs se sont multipliés en Europe le 21 octobre. Aux Pays-Bas, Overheid.nl, MijnOverheid.nl, DigiD, le port de Rotterdam, la KNVB, les sites de grands partis politiques et des hôpitaux ont été coupés. La Finlande a suspendu les services Valtori, la France a mis hors ligne la préfecture de police de Paris, la Belgique et l’Allemagne ont suivi. Le Danemark a fermé Kombit, tandis que des conseils britanniques (Édimbourg, Bristol, Oxford) et la Signals Directorate australienne ont été brièvement touchés. La NSA et le NCSC britannique ont recommandé de couper les systèmes impossibles à corriger immédiatement. Cette vague souligne la fragilité des services numériques gouvernementaux européens.

Comment corriger et protéger les systèmes PHP

Les agences recommandent une réponse structurée :

1. Recenser toutes les installations PHP, hébergement mutualisé et applications héritées comprises.
2. Prioriser les systèmes exposés à Internet acceptant des entrées non fiables.
3. Appliquer les correctifs 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou des backports fournisseurs.
4. Vérifier les mises à jour des charges cloud et des images de conteneurs.
5. Analyser les journaux serveurs à la recherche d’activité suspecte.
6. Ne rétablir les services suspendus qu’après confirmation.

Dane Knecht, de Cloudflare, qualifie la mise à jour des règles de pare-feu de solution provisoire uniquement, insistant sur la gestion des correctifs d’urgence. Les organisations devraient aussi utiliser des outils d’analyse de vulnérabilités pour confirmer la remédiation.

Impact mondial et réactions des experts

Amazon a signalé une tentative d’exploitation sur un honeypot quatre jours avant la divulgation, signe que les attaquants testaient déjà les failles. PHP sous-tendant WordPress et de nombreux CMS, les experts préviennent qu’une longue traîne de sites non corrigés subsistera sur l’hébergement mutualisé. Des agences en Europe, en Australie, au Japon et au Royaume-Uni ont émis des alertes, et des attaques assistées par IA pourraient amplifier la menace. Cet épisode met à l’épreuve la coordination mondiale de la réponse aux incidents de cybersécurité.

FAQ

Qu’est-ce que la faille PHP ?

Deux failles critiques, CVE-2026-109618 et CVE-2026-109619, permettant une exécution de code à distance non authentifiée.

Quelles versions sont touchées ?

PHP 5.4 à 8.5.11. Les correctifs existent en 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Pourquoi les sites publics ont-ils été coupés ?

Par précaution : les failles pouvaient donner accès au système de fichiers avant l’application des correctifs.

WordPress est-il concerné ?

Oui, WordPress fonctionne sur PHP ; tout site utilisant une version non corrigée reste à risque.

Comment protéger mon site ?

Appliquez le correctif immédiatement, priorisez les systèmes exposés, surveillez les journaux et utilisez un pare-feu applicatif comme mesure temporaire.

Conclusion

La faille critique de PHP d’octobre 2026 rappelle que les logiciels open source fondamentaux peuvent cacher des risques. Gouvernements et entreprises doivent corriger sans délai et surveiller les attaques de suivi, la longue traîne des systèmes non corrigés devant persister des mois.