C’est une alerte à l’échelle mondiale avec la coupure de près de 70 % des sites suite à la découverte de deux failles critiques dans PHP. En France, les sites de l’administration étaient placés en maintenance par le ministère de l’Intérieur. Rappelons que l’on estime que PHP équipe près de 70 % du web.
- Deux failles critiques dans PHP ont provoqué la mise hors ligne de nombreux sites, avec un risque évalué jusqu’à 10/10.
- Les vulnérabilités permettent de prendre le contrôle d’un serveur sans compte ni mot de passe, et des millions de tentatives d’exploitation ont déjà été détectées.
- Des correctifs existent pour PHP 8.2 à 8.5, tandis que les versions plus anciennes doivent migrer pour rester protégées.
Pour les vulnérabilités, elles sont d’autant plus dangereuses qu’elles permettent à un pirate de prendre le contrôle d’un serveur sans compte ou quelconque mot de passe. Et avant même que toute l’affaire ne soit publique, des tentatives d’attaque ont déjà été lancées.
Des failles qui menacent près de 70 % de l’Internet mondial
C’est le 21 octobre que des correctifs furent publiés en urgence pour les failles sous les références CVE-2026-109618 et CVE-2026-109619. Respectivement, leur risque est de 9,2 et 10 sur 10. Pour un pirate, ces failles permettent d’envoyer une requête qui exploite la faille pour ensuite exécuter des commandes dans le serveur.
Il est aussi possible pour quelqu’un de mal intentionné de lire la mémoire du serveur, puis de récupérer des mots de passe, des clés API ou des jetons de connexion. Le problème concerne PHP lui-même, donc avec des bugs dans le moteur qui exécute le code des sites.
On parle de versions touchées qui remontent jusqu’à PHP 5.4. À noter que les failles touchent donc PHP qui équipe les sites web qui tournent sous WordPress, Drupal, Joomla ou MediaWiki. Pour rappel, WordPress équipe plus de 40 % du web, d’où ce danger pour l’Internet mondial.
L’une des failles était connue depuis des années
Preuve que les pirates n’ont pas attendu longtemps pour les exploiter, Cloudflare a comptabilisé des milliers de tentatives dans les dix heures qui ont précédé l’annonce au grand public. Et en 45 minutes, le volume fut de dizaines de milliers de tentatives, puis des centaines de milliers en deux heures. Matthew Prince, PDG de Cloudflare, a indiqué qu’aujourd’hui le total a atteint plusieurs millions.
Le plus embêtant, c’est qu’en 2024 déjà, un chercheur a repéré le problème qui se trouve à l’origine de l’une de ces failles. Malheureusement, la PHP Foundation n’a pas trouvé la méthode assez claire pour l’exploiter et a donné la priorité à d’autres alertes de sécurité. Depuis, l’organisation admet un « échec » dans cette histoire, d’autant plus que le code vulnérable était présent depuis plus d’une décennie.
Un correctif a depuis été déployé
Les vulnérabilités furent découvertes par plusieurs modèles parmi lesquels GPT-5.6 Sol d’OpenAI et Gemini 4 Argon de Google. Jusque-là, trouver de telles failles prenait des semaines voire des mois, même avec des spécialistes très expérimentés. L’IA l’a fait en quelques jours dans certains cas. Car il ne suffit pas de repérer un bug, mais il faut aussi savoir comment mener une attaque.
Mais si l’IA permet à un chercheur en cybersécurité de trouver des failles bien plus rapidement, les pirates accèdent aux mêmes outils et se montrent également redoutables. Désormais, le correctif existe, mais tout le monde n’y a pas le droit.
Il faut PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger les failles. Pour PHP 8.1 et les versions les plus anciennes, il n’y a plus de mise à jour, alors il faut migrer vers une version plus récente. D’où le fait que certains sites coupent leur accès le temps que le serveur soit sécurisé.
Un avis, une expérience, un désaccord ? La discussion est ouverte.