Failles critiques dans PHP : alertes de sécurité mondiales et pannes majeures
Deux vulnérabilités critiques dans le cœur de PHP évaluées à 9,2 sur l'échelle CVSS ont déclenché des alertes de sécurité mondiales et des pannes informatiques massives.
Deux failles de sécurité particulièrement graves, référencées CVE-2026-109618 et CVE-2026-109619, ont été découvertes dans le cœur du langage de programmation PHP, permettant à des attaquants d'exécuter du code à distance et de prendre le contrôle de serveurs sans nom d'utilisateur, mot de passe ni privilèges administratifs. Ces failles ont obtenu un score de gravité de 9,2 sur l'échelle CVSS. Développé au début des années 1990 sous le nom de Personal Home Page, PHP est un langage open source maintenu par des bénévoles. Selon W3Techs, il fait fonctionner entre 69,3 % et 75 % des sites web dont le langage côté serveur est connu, servant d'infrastructure à des systèmes de gestion de contenu et de commerce électronique populaires tels que WordPress, Drupal, Joomla et Magento. Tiffany Paris, directrice générale par intérim de l'association Drupal, a souligné que tous les serveurs utilisant n'importe quelle version de PHP sortie au cours des vingt dernières années sont vulnérables, affectant une majeure partie d'Internet.
Réponse mondiale et alertes d'urgence
Le 21 octobre 2026, des correctifs de sécurité officiels ont été publiés, et la fondation PHP a exhorté les départements technologiques du monde entier à effectuer une mise à jour immédiate. Des agences de renseignement, de sécurité et de cyberdéfense ont émis des avertissements urgents. La division cyber de la NSA a indiqué sur X que toutes les organisations utilisant PHP doivent se préparer à une mise à jour immédiate, ces failles offrant souvent un accès direct au système de fichiers ou à la base de données, recommandant de déconnecter les systèmes si une mise à jour immédiate est impossible. Des recommandations similaires ont été publiées par le Centre national de cybersécurité britannique (NCSC). La Maison-Blanche a confirmé avoir été informée dans les jours précédant la divulgation.
La Première ministre japonaise, Sanae Takaichi, a publié sur X une invitation à vérifier si les sites actifs utilisent PHP et à se préparer à appliquer le nouveau correctif, tandis que le Premier ministre néerlandais a déclaré suivre de près la situation. La division cyber du FBI a appelé les organisations à prendre des mesures immédiates, signalant que les deux vulnérabilités pourraient permettre à des acteurs malveillants d'exécuter du code à distance dans le cœur de PHP et de compromettre des réseaux sensibles. L'agence a également conseillé de cartographier les environnements et de surveiller les serveurs pour détecter toute activité suspecte, telle que le lancement de shells de commandes ou le téléchargement de fichiers, tout en signalant les compromissions au FBI ou sur ic3.gov, en référence à l'avis de sécurité CERT-EU 2026-018 et au catalogue des vulnérabilités exploitées de la CISA.
Découverte assistée par l'IA et course aux armements numériques
Les failles, présentes dans le code du langage depuis une décennie ou plus, sont liées à la gestion par PHP des états d'erreur et des pannes de mémoire (Out of Memory), laissant des données corrompues ou des références de mémoire libérée (Use-After-Free) exploitées par des requêtes ultérieures. Découvertes en août et gardées secrètes jusqu'à la préparation des correctifs, ces vulnérabilités ont été identifiées le 1er août par le groupe Calif à l'aide d'un modèle linguistique dans le cadre d'un audit de code financé par OpenAI. Parallèlement, la firme israélienne Wiz a exposé les failles de manière indépendante grâce à l'outil de recherche Wiz Atlas et aux modèles Gemini 4 Argon et GPT-5.6 Sol. Wiz a expliqué qu'auparavant, l'exploitation de ces failles exigeait une chaîne extrêmement complexe frôlant les limites des capacités humaines, un obstacle désormais levé par l'intelligence artificielle.
OpenAI a déclaré sur X avoir dirigé une coalition pour préparer des correctifs à ces failles critiques, qualifiant ce bug de l'une des vulnérabilités les plus marquantes de ces derniers temps et d'étape historique pour l'ère de l'IA dans la détection de bugs à l'échelle d'Internet. Le directeur de la technologie de Cloudflare a signalé les premiers signes d'attaques, et le responsable de la sécurité d'Amazon, CJ Moses, a révélé des tentatives d'exploitation contre les honeypots de l'entreprise dès le 17 octobre, confirmant une exploitation active à grande échelle.
Pannes massives de systèmes et conséquences à long terme
Ce risque sévère a entraîné des arrêts préventifs de systèmes à l'échelle mondiale. Aux Pays-Bas, le Centre national de cybersécurité a mis son site hors ligne, suivi du portail Overheid.nl, du port de Rotterdam, des sites des cinq principaux partis politiques et d'hôpitaux. En Finlande, les services réseau gouvernementaux ont été coupés par le fournisseur Valtori. En France, tous les sites du ministère de l'Intérieur ont été placés en maintenance préventive (y compris le site de la préfecture de police de Paris), et au Danemark, des services municipaux, dont la plateforme scolaire, ont été interrompus. Wikipédia et l'Internet Archive ont également suspendu certaines de leurs plateformes jusqu'à leur mise à jour.
Selon les données de Censys, environ 1,5 million sur 2,6 millions d'hôtes exécutant PHP utilisent des versions qui ne sont plus prises en charge et ne disposent pas de correctif officiel (versions 8.1 et antérieures), tandis que VirusTotal détecte environ 3,8 millions de sites web ouverts exécutant le langage. L'opérateur de WordPress, Automattic, a indiqué que ses services d'hébergement et les utilisateurs de Tumblr sont protégés, et des plateformes comme Wix et Squarespace ne prenant pas en charge PHP ne sont pas concernées. En revanche, le risque demeure particulièrement élevé pour les petits sites PHP et les hébergeurs mutualisés (tels que GoDaddy, Bluehost et Hostinger), incitant GoDaddy à recommander de supposer que chaque site utilisant PHP est touché et de procéder à des mises à jour urgentes.
