php2shell : la moitié d'Internet est en danger – seul le patch de PHP peut aider
Des pirates informatiques peuvent exécuter du code malveillant sur des serveurs web sans mot de passe en raison de deux failles critiques dans PHP. Environ 70 pour cent de tous les sites web pourraient être concernés. Un code d'exploitation est déjà disponible. Seule une mise à jour de PHP peut remédier à la situation.
Deux failles de sécurité critiques dans le langage de programmation PHP menacent actuellement des millions de serveurs web. Elles permettent à des attaquants d'exécuter du code malveillant sans mot de passe – une publication anonyme sur la plateforme Hacker News avait déjà révélé les vulnérabilités et un premier code d'exploitation le 20 octobre. Les correctifs ont été publiés le 21 octobre à 16h00 CEST. En raison de la situation explosive, les Pays-Bas et les développeurs de GrapheneOS, par exemple, ont temporairement déconnecté leurs systèmes par mesure de précaution. Un signe de la gravité de la situation.
Ce qui s'est passé exactement
L'équipe de sécurité de PHP a publié des correctifs pour deux failles critiques qui permettent aux attaquants d'exécuter du code arbitraire sur un serveur. Elles portent les numéros CVE CVE-2026-109618 et CVE-2026-109619 et sont surnommées «php2shell» en référence à la tristement célèbre faille Log4Shell de 2021. Toutes deux ont reçu un score CVSS de 9,2 sur 10, la catégorie la plus élevée pour les vulnérabilités critiques.
La première faille (CVE-2026-109618) concerne la gestion de la mémoire. Lorsqu'un script PHP atteint sa limite de mémoire, l'exécution s'interrompt et la mémoire est nettoyée. Si un attaquant perturbe ce processus de nettoyage avec des requêtes préparées, il peut manipuler la mémoire de sorte que PHP exécute son propre code malveillant. La deuxième faille (CVE-2026-109619) exploite un état obsolète dans la gestion des erreurs : des données provenant d'une ancienne requête restent en mémoire et sont traitées à tort comme actuelles lors de la requête suivante. Cela permet également d'injecter du code malveillant.
Pourquoi cela touche autant de monde
PHP est le fondement sur lequel repose une grande partie du Web. Environ 70 % de tous les sites web dont le langage de programmation côté serveur est connu utilisent PHP. Des systèmes de gestion de contenu comme WordPress, Drupal, Joomla et Magento sont basés dessus. Cependant, mettre à jour ces systèmes ne suffit pas pour être en sécurité. L'erreur est plus profonde, dans l'environnement d'exécution PHP lui-même.
Les vulnérabilités ne concernent pas seulement les versions actuelles de PHP. Elles traversent le code jusqu'à PHP 5.4, sorti en 2012. De nombreux serveurs web fonctionnent encore avec des versions PHP plus anciennes, qui ne sont plus prises en charge et ne reçoivent plus de mises à jour de sécurité régulières.
Ce que vous devez faire maintenant
La seule solution complète est la mise à jour vers l'une des versions PHP nouvellement publiées : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Ces correctifs doivent être installés manuellement sur le serveur – les mises à jour automatiques ne fonctionnent pas ici. Pour les versions plus anciennes et non prises en charge (PHP 7.4, 8.0, 8.1), l'équipe PHP a fourni des backports de code source minimaux.
Si vous n'êtes pas vous-même responsable du serveur, vous devriez demander à votre hébergeur si les mises à jour de sécurité sont déjà installées. Pour les systèmes qui ne peuvent pas être mis à jour immédiatement, les autorités conseillent de les déconnecter du réseau. Cloudflare a déjà déployé des règles de pare-feu qui bloquent les modèles d'attaque connus. De telles mesures de protection peuvent réduire le risque, mais ne remplacent pas une mise à jour de sécurité.
Quelle est la gravité réelle ?
Les avertissements proviennent des plus hautes instances. L'Office fédéral allemand de la sécurité des technologies de l'information (BSI) a par exemple publié un avertissement officiel. Le CERT-EU, le NCSC britannique et l'agence de cybersécurité australienne ont également publié des alertes d'urgence.
Le nombre de serveurs déjà attaqués avec succès n'est pas clair pour le moment. Au 21 octobre 2026, 18h00 CEST, il n'existe aucun chiffre fiable sur des compromissions confirmées. Cloudflare signale déjà des tentatives d'attaque et a renforcé ses règles de protection. D'autres chercheurs en sécurité n'ont cependant pas encore constaté d'exploitation dans les réseaux qu'ils surveillent. Le risque est réel et augmente à chaque heure où les serveurs restent sans correctif.
Le baiser quotidien de la muse stimule ma créativité. Si elle m’oublie, j’essaie de retrouver ma créativité en rêvant pour faire en sorte que mes rêves dévorent ma vie afin que la vie ne dévore mes rêves.
Du nouvel iPhone à la résurrection de la mode des années 80. La rédaction fait le tri.
Tout afficher
