BARCELONA — Deux vulnérabilités critiques découvertes dans le cœur de PHP, langage utilisé par des millions de sites internet, ont conduit des entreprises et des administrations à déclencher des mesures d’urgence. Regroupées sous le nom PHP2Shell, elles peuvent permettre, dans certaines conditions, l’exécution de code à distance sans authentification. L’équipe chargée de la sécurité de PHP a publié mercredi 21 octobre des correctifs exceptionnels.
Deux failles évaluées à 9,2 sur 10
Référencées CVE-2026-109618 et CVE-2026-109619, ces vulnérabilités ont obtenu un score de 9,2 sur l’échelle CVSS 4.0. Elles résultent de défauts de gestion de la mémoire et de l’état interne du logiciel. Leur exploitation peut donner à un attaquant la possibilité d’exécuter des instructions avec les droits du processus web ou d’accéder à des données sensibles.
Le risque concerne les serveurs qui utilisent PHP pour traiter les requêtes, notamment ceux hébergeant des applications WordPress, Drupal ou Joomla. Cela ne signifie pas que tous ces sites ont été piratés : leur exposition dépend de la version installée, de la configuration et de l’accessibilité du service.
Des correctifs publiés en urgence
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ainsi que leurs mises à jour ultérieures. Les versions 8.1 et antérieures ne bénéficient plus du support officiel et nécessitent une migration vers une branche maintenue.
Plusieurs services ont été isolés à titre préventif pendant le déploiement des correctifs. Le centre de cybersécurité du service national de santé britannique estime qu’une exploitation future est très probable et appelle à une mise à jour immédiate. Le centre national néerlandais de cybersécurité a également signalé la circulation de démonstrations publiques d’exploitation.
Une vigilance particulière pour les entreprises
Les exploitants de sites marchands, de médias et de services publics doivent vérifier la version de PHP réellement exécutée sur leurs serveurs et appliquer les mises à jour fournies par leur hébergeur ou leur administrateur système. Une simple mise à jour de WordPress ou de ses extensions ne corrige pas une faille située dans le moteur PHP. Lorsque l’installation immédiate du correctif est impossible, un isolement temporaire des applications exposées doit être envisagé après évaluation du risque.
L’alerte touche une composante essentielle des services numériques utilisés par les entreprises et les administrations. Les spécialistes recommandent aussi d’examiner les journaux techniques pour rechercher d’éventuelles activités suspectes, sans assimiler automatiquement une vulnérabilité à une intrusion avérée.
