Fuites PHP critiques : pourquoi les sites Web sont en danger dans le monde entier
The Strategic Newb Editorial Team
Mis à jour le:
Traduit de l’original ; les chiffres et les sources ont été conservés. Lire l’original →
Mise à jour le 21 octobre 2026. Cet article décrit la situation selon les sources listées ci-dessous à cette date.
Un site Web peut disparaître temporairement pendant que l'administrateur tente d'empêcher une cyberattaque. Cela se produit maintenant après la découverte de deux failles de sécurité critiques dans PHP. Le logiciel est utilisé par des sites Web et des applications en ligne dans différents pays. Le problème a donc une portée internationale.
Les mises à jour de sécurité sont désormais disponibles. La question la plus importante pour les administrateurs de sites Web est donc de savoir si leur hébergeur ou leur équipe technique a réellement mis en œuvre la solution. Projet PHP
Que se passe-t-il avec PHP ?
PHP est un logiciel qui permet aux serveurs d'exécuter le code d'un site Web. Les visiteurs ne voient généralement que le résultat : une page, un formulaire ou une boutique en ligne. La même technologie sous-jacente peut fonctionner derrière ces parties visibles.
Les vulnérabilités sont enregistrées sous les noms CVE-2026-109618 et CVE-2026-109619. Les deux ont un score de gravité de 9,2 sur 10. Selon le CERT-EU, dans certaines circonstances, ils peuvent permettre aux attaquants d'exécuter du code sans se connecter au préalable. C'est ce qu'on appelle l'exécution de code à distance. CERT-EU
Cela rend la sécurité du serveur importante, même lorsque le site Web lui-même est bien entretenu.
Le problème PHP est-il mondial ?
Oui, le risque technique est global. Il est lié aux logiciels et aux configurations utilisés, pas aux frontières nationales. Une installation vulnérable peut être située dans une petite entreprise, dans une organisation internationale ou sur une plateforme d'hébergement mutualisé.
Les avertissements sont également internationaux. Le CERT-EU a publié des conseils de sécurité destinés aux organisations. Le Centre australien de cybersécurité a également publié un avertissement critique concernant PHP. Cela souligne qu’il ne s’agit pas d’un incident exclusivement néerlandais. CERT-EUCentre australien de cybersécurité
Toutefois, le risque mondial ne signifie pas que les mêmes perturbations se produiront dans tous les pays. Cela ne signifie pas non plus que tous les sites Web utilisant PHP ont été piratés. Les conséquences réelles dépendent entre autres de la vulnérabilité d’une installation et des mesures prises.
Pourquoi les organisations mettent-elles elles-mêmes les sites Web hors ligne ?
Un site Web temporairement inaccessible peut être le résultat d'une mesure de précaution. CERT-EU recommande de mettre à jour immédiatement. Lorsque cela n’est pas possible, les organisations doivent envisager d’isoler temporairement les applications accessibles depuis Internet des réseaux publics. CERT-EU
Un exemple concret vient des Pays-Bas. Le Centre national de cybersécurité a signalé qu'il avait mis son propre site Web hors ligne par mesure de précaution en raison des vulnérabilités PHP. Ce rapport confirme une mesure de protection et non un cambriolage réussi. NCSC Pays-Bas
La différence peut être invisible pour les utilisateurs : ils voient un message d'erreur ou une page de maintenance. La différence est essentielle pour l’appréciation de l’incident.
Les attaquants sont-ils déjà actifs ?
Le CERT-EU rapporte que les détails techniques sont discutés publiquement et que les premières manifestations d'abus circulent. Cela augmente les chances d’une exploitation réelle. Cela confirme l’urgence, mais ne donne pas un total global des sites Web piratés. CERT-EU
Trois situations doivent donc être distinguées :
| Situation | Signification |
|---|---|
| Vulnérable | Un système contient une faille de sécurité. |
| Hors ligne par précaution | L'administrateur limite temporairement l'accessibilité. |
| Confirmé compromis | L’enquête révèle un accès non autorisé ou une utilisation abusive. |
Un message d'erreur à lui seul ne prouve pas le vol de données.
Quelles mises à jour PHP résolvent le problème ?
Le projet PHP a publié ces versions de sécurité le 21 octobre 2026 : Projet PHP
| Série PHP | Sortie avec les correctifs de sécurité |
|---|---|
| PHP8.2 | 8.2.35 |
| PHP8.3 | 8.3.36 |
| PHP8.4 | 8.4.27 |
| PHP8.5 | 8.5.12 |
Les fournisseurs de systèmes d'exploitation peuvent également intégrer les solutions dans leurs propres packages. Par conséquent, laissez le fournisseur ou l’administrateur confirmer quel package est sûr. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour régulières du projet PHP ; le support d’autres fournisseurs peut varier. Projet PHP
Qu’est-ce que cela signifie pour les sites WordPress ?
WordPress utilise PHP. La simple mise à jour de WordPress, d'un thème ou d'un plugin ne remplace pas l'installation de PHP sur le serveur. Wordfence souligne donc que les propriétaires doivent déterminer qui est responsable de la mise à jour PHP : l'hébergeur ou leur propre équipe technique. Wordfence
Demandez à cette partie une confirmation concrète de la solution de sécurité installée. En cas d'interruption, demandez également quand le service pourra reprendre de manière contrôlée.
Questions fréquemment posées sur les fuites PHP
Est-ce que tout Internet est en panne ?
Les sources consultées ne corroborent pas cette affirmation. Il existe un large risque technique, tandis que les conséquences diffèrent selon le service.
Un site Web hors ligne a-t-il été piraté ?
Cela ne découle pas de l’inaccessibilité. Un administrateur peut délibérément désactiver temporairement un site Web.
Une mise à jour de WordPress est-elle suffisante ?
L'installation PHP doit être mise à jour séparément par la partie gérant le serveur. Wordfence
Les mesures de protection temporaires sont-elles suffisantes ?
Selon le projet PHP, seule la mise à jour apporte un correctif complet à ces vulnérabilités. Des mesures temporaires peuvent réduire l’exposition à des voies d’attaque spécifiques. Projet PHP
Sources
Projet PHP - Avis de sécurité officiel et versions en date du 21 octobre 2026
CERT-EU — Vulnérabilités critiques de PHP, avis 2026-018
Australian Cyber Security Center – avertissement PHP critique sur le site Web, 21 octobre 2026
Wordfence — PSA : prochaine version critique de sécurité PHP
Pour aller plus loin
Cyberincidents dans les supermarchés : risques numériques dans le monde physique