Faille PHP critique : sites hors ligne et correctifs

Une faille PHP critique découverte fin octobre 2026 a contraint des gouvernements et des entreprises en Europe, en Asie et en Amérique du Nord à mettre des sites hors ligne le temps d'appliquer des correctifs d'urgence. Les deux vulnérabilités, baptisées PHP2Shell, touchent le langage open source qui alimente environ 70 % des sites web, selon la PHP Foundation.

Qu'est-ce que la vulnérabilité PHP2Shell ?

La PHP Foundation a divulgué deux failles d'exécution de code à distance — CVE-2026-109618 et CVE-2026-109619 — le 21 octobre 2026. Toutes deux présentent un score CVSS de 9,2 et permettent à des attaquants non authentifiés d'exécuter du code arbitraire sur les serveurs vulnérables. Les bugs existent depuis PHP 5.4 et ont été découverts avec l'aide de modèles d'IA, ce qui en fait les vulnérabilités PHP les plus importantes jamais trouvées par IA, selon la fondation.

Correctifs d'urgence et réponse mondiale

Les autorités, dont la NSA, le FBI, le NCSC britannique et des agences à Singapour, en Australie, au Canada et dans l'UE, ont exhorté les administrateurs à corriger immédiatement ou à mettre les systèmes hors ligne. Le Royaume-Uni a émis des dizaines de milliers d'alertes pour identifier l'exposition. Plusieurs portails gouvernementaux — Overheid.nl, DigiD, le port de Rotterdam, Valtori en Finlande et la préfecture de police de Paris — ont été coupés par précaution. La Fondation Wikimédia a aussi brièvement suspendu ses services avant de revenir après correction.

Quels systèmes sont affectés ?

Les versions PHP 5.4 à 8.5.11 sont affectées. Des correctifs ont été publiés le jour même dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Apache avec mod_php est la configuration la plus exposée, mais PHP-FPM, php-cgi, FrankenPHP et LiteSpeed peuvent aussi être vulnérables. Les organisations doivent inventorier les installations PHP, prioriser les systèmes exposés à Internet, appliquer les mises à jour, vérifier les conteneurs et examiner les journaux à la recherche de signes d'exploitation.

Comment les attaquants ont exploité la faille avant la divulgation

L'équipe de renseignement sur les menaces MadPot d'Amazon a détecté des tentatives d'exploitation quatre jours avant l'alerte publique. Cloudflare a signalé des millions de tentatives en quelques heures après la divulgation. Dane Knecht, de Cloudflare, a averti que les règles de pare-feu ne sont qu'une mesure temporaire et que l'application des correctifs reste essentielle.

Impact et implications

Les retraits coordonnés soulignent la fragilité des logiciels fondamentaux d'Internet. PHP alimentant près de 70 % des sites, quelques failles peuvent perturber services publics, commerce en ligne et médias. Les environnements d'hébergement mutualisé lents à mettre à jour et les versions PHP en fin de vie restent exposés. Aucune compromission réussie publiquement vérifiée n'avait été confirmée au vendredi 23 octobre 2026, mais les équipes de sécurité continuent de rechercher des intrusions.

FAQ : correctifs d'urgence PHP2Shell

Qu'est-ce que PHP2Shell ?

PHP2Shell est le surnom de deux vulnérabilités PHP critiques, CVE-2026-109618 et CVE-2026-109619, permettant une exécution de code à distance non authentifiée.

Quelles versions de PHP sont vulnérables ?

Toutes les versions de 5.4 à 8.5.11. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Pourquoi des sites ont-ils été mis hors ligne ?

De nombreuses organisations ont coupé les services affectés par précaution pour éviter l'exploitation avant d'appliquer les correctifs d'urgence, suivant les conseils de la NSA, du FBI, du NCSC et d'autres agences.

La faille a-t-elle été activement exploitée ?

Amazon a détecté des tentatives sur pots de miel avant la divulgation publique, et Cloudflare a vu des millions de tentatives après, mais aucune compromission réussie publiquement vérifiée n'était confirmée au vendredi 23 octobre 2026.

Comment protéger mon serveur PHP ?

Mettez à jour immédiatement vers une version corrigée, inventoriez les installations PHP, priorisez les systèmes exposés à Internet et examinez les journaux pour détecter toute activité suspecte.

Conclusion

L'incident PHP2Shell rappelle que l'infrastructure sous-jacente du web est souvent maintenue par un petit groupe de bénévoles et de fondations. Si l'effort de correction d'urgence a été large, la résilience à long terme exigera un meilleur financement, une adoption plus rapide des mises à jour et un recours accru à la découverte de vulnérabilités pilotée par l'IA.