Des brèches très dangereuses ont été découvertes dans le langage de programmation PHP, largement utilisé sur les sites internet. Les spécialistes du monde entier appellent à déployer les mises à jour aussi vite que possible.

France Télévisions

Publié le 22/10/2026 15:21

Temps de lecture : 6min

Des failles ont été révélées le 21 octobre 2026 dans le langage de programmation PHP, très utilisé pour créer des sites web. Elles peuvent permettre à des pirates informatiques de mener des cyberattaques dangereuses. (TEK IMAGE / SCIENCE PHOTO LIBRARY / ABO / AFP)

Le compte à rebours est lancé. Le monde de la cybersécurité mène une course contre la montre depuis mercredi 21 octobre, afin d'éviter des catastrophes provoquées par deux failles "critiques" découvertes dans le langage de programmation PHP, dont dépend une large partie de l'internet mondial.

De nombreux sites web et pages gouvernementales ont été mis hors ligne à travers le monde, à l'appel des spécialistes, le temps d'appliquer les mises à jour publiées mercredi après-midi. Des responsables politiques du monde entier appellent à prendre l'affaire au sérieux. On vous résume ce qu'il faut savoir de la situation.

De quoi s'agit-il ?

Si le sujet mobilise les professionnels de la cybersécurité et les gouvernements à travers le monde, c'est parce qu'il concerne le langage de programmation PHP, utilisé par près de 70% des sites internet de la planète, d'après le site spécialisé W3Techs. PHP est "un langage de script largement utilisé" qui permet entre autres aux sites web de "générer des pages dynamiques, dont le contenu évolue en fonction des interactions des utilisateurs", comme l'explique en France l'Agence nationale de sécurité des systèmes d'information (Anssi).

Rien que sur l'internet français, "plus de 600 000 serveurs" utilisent ce langage de programmation, selon l'Anssi. L'entreprise américaine de cybersécurité Palo Alto Networks recensait mercredi "plus de 22 millions d'instances exposées" et potentiellement vulnérables dans le web mondial.

Or, cette pierre angulaire du web contient deux failles "critiques", dévoilées mercredi après-midi. Malgré leurs noms officiels barbares (CVE-2026-109618 et CVE-2026-109619) et leur surnom tout aussi obscur ("php2shell"), leurs conséquences sont dramatiquement simples : elles permettent une "exécution de code arbitraire à distance", un des modes opératoires les plus dangereux qui soit.

Celui-ci permet à un attaquant d'exécuter "des commandes à distance afin d'infecter votre ordinateur ou votre réseau avec des malwares ou d'autres codes malveillants", sans "aucune action de votre part" ni "accès physique à votre réseau", comme l'explique le géant de la cybersécurité Crowdstrike. Leur "note de gravité" est estimée à 9,2 sur 10 par la Fondation PHP, l'organisation à but non lucratif qui rassemble les principaux développeurs et utilisateurs de ce langage de programmation "open source".

Quels sites ont été rendus inaccessibles ?

Des milliers de sites web publics et privés à travers le monde ont été coupés plus ou moins brièvement, le temps d'en assurer la sécurité – sur recommandation des institutions spécialisées en cybersécurité comme l'Anssi en France, l'agence de cyberdéfense américaine (Cisa) et la NSA aux Etats-Unis, ou le National cybersecurity office (NCO) japonais.

Parmi les sites coupés, Wikipédia ou l'Internet Archive. Côté public, la police fédérale belge, de nombreux hôpitaux néerlandais ou encore la municipalité de Munich, ainsi que le gouvernement canadien, selon le ministre du numérique canadien, Evan Solomon, sur son compte X. La Première ministre japonaise a elle-même tiré la sonnette d'alarme sur sur X.

Rien qu'en France, des dizaines de sites publics étaient concernés. Le ministère de l'intérieur "a procédé à la mise en maintenance préventive de l'ensemble de ses sites internet exposés", et les pages de nombreuses préfectures ont affiché un message de maintenance. Le site officiel du ministère de l'Economie était également inaccessible mercredi après-midi, tout comme celui du ministère de la Culture, de l'Ecologie, le site des impôts, ou encore Météo-France. Les médias Les Echos et Challenges ou des entreprises comme Renault étaient également concernés mercredi après-midi.

Ces failles ont-elles déjà été exploitées par des pirates ?

Au moment de la publication de cet article, non. Mais de nombreuses tentatives ont eu lieu, selon les spécialistes. L'entreprise américaine de services web et de cybersécurité Cloudflare a constaté "des milliers de tentatives" d'exploiter ces vulnérabilités dans les heures précédant la publication du correctif, affirme le dirigeant de la société sur X. Depuis leur publication, ce nombre de tentatives a atteint "des millions", selon la même source. Le géant du cloud Amazon Web Services assure également avoir constaté des tentatives, heureusement tombées sur un réseau fictif qui sert à leurrer les pirates afin de recueillir des informations sur leur mode opératoire.

Mais ces brèches pourront avoir des conséquences pendant encore longtemps. "Certains sites, systèmes et personnes n'auront absolument aucune idée de ce qui se passe et resteront dans l'ignorance pendant des jours, des semaines, voire des mois", avertit auprès de l'AFP Steve Kerrison, maître de conférences en cybersécurité sur le campus de Singapour de l'université James Cook. Cela pourrait inclure des blogs ou autres sites gérés par des particuliers, qui pourraient être utilisés pour propager des virus, du spam ou du contenu malveillant.

Comment se protéger ?

Les particuliers qui ne gèrent pas de site web utilisant PHP n'ont rien à faire. Pour les autres et les professionnels, la Fondation PHP "encourage fortement de mettre à jour immédiatement" la version de PHP utilisée. Cependant, le correctif de sécurité officiel n'existe que pour la version 8.2 de PHP et les suivantes (8.3, 8.4, 8.5), car les versions antérieures ne reçoivent plus de mises à jour (à la manière des anciennes versions de Windows).

La Fondation PHP recommande à ceux qui utilisent toujours une version "abandonnée" (qui ne bénéficie plus de support technique) de contacter leur fournisseur, ou de passer à une version plus récente. Mais vu la sévérité de la menace, un portage a minima de la mise à jour a été fourni par la fondation pour les versions 7.4, 8.0 et 8.1.

Il existe également des astuces techniques pour limiter les risques même sans mise à jour, décrites sur le site de la Fondation PHP. Mais elle rappelle que ces bricolages ne font que réduire partiellement le risque, sans l'éliminer complètement. "Le plus difficile n'est pas d'installer le correctif, mais de savoir où PHP s'exécute : sous les systèmes de gestion de contenu, les plateformes d'hébergement, les appliances [des appareils électroménagers par exemple] et les produits tiers qui ne le mentionnent jamais", estime Samuel Hassine, directeur général de l'entreprise française de cybersécurité Filigran.

"Les responsables de la sécurité devraient faire trois choses dès aujourd'hui", estime le professionnel : "Inventorier tous les systèmes exposés et demander à chaque éditeur si son produit embarque PHP", "corriger ou isoler ce qui ne peut pas être corrigé, en commençant par tout ce qui est accessible depuis internet", "puis partir du principe que quelqu'un est entré le premier" et donc "rechercher les web shells [des codes malveillants qui permettent des accès à distance], les fichiers inattendus et les nouvelles connexions sortantes".

Comment les failles ont-elles été découvertes ?

Sur son site, la Fondation PHP explique que des premiers signes d'une des vulnérabilités avaient été découverts en 2024. Mais le groupe à but non lucratif manquait de moyens humains, les corrections envisagées apportaient de nouveaux problèmes, et aucun mode opératoire pour exploiter ces brèches n'avait encore été mis au jour. Le travail sur le sujet s'est donc embourbé.

"Nous n'allons pas le nier : ce retard est un échec structurel, lié à la fois au processus décisionnel de l'équipe de sécurité et à son manque de ressources. Depuis, l'équipe de sécurité a commencé à modifier ses processus."

La Fondation PHP

dans un post de blog

La fondation a ensuite eu accès à différents outils d'intelligence artificielle (IA) dernier cri, développés par les géants OpenAI et Anthropic. C'est entre autres grâce à eux que les deux brèches critiques ont été découvertes cet été par OpenAI et les entreprises de cybersécurité Wiz et Calif. OpenAI précise dans un communiqué que c'est son modèle d'IA GPT‑5.6 Sol qui a été utilisé par Calif, dans le cadre de l'initiative "Patch the Planet".

Des développeurs ont travaillé sur le sujet "jour et nuit" pour trouver une protection. Le travail avançait correctement, jusqu'à mardi, quand Calif a publié "par erreur" une vidéo comprenant une "preuve de concept" de l'exploitation de ces vulnérabilités, avec quelques éléments techniques. Puis une autre entreprise qui avait reçu le correctif à l'avance (Chainguard) "a rompu l'embargo de manière unilatérale et publié des images contenant la correction", dénonce PHP.

"N'importe quel attaquant pouvait désormais analyser le correctif en langage binaire, alors que tous les autres utilisateurs de PHP attendaient encore sa publication. Au mépris de semaines de travail menées par de nombreux acteurs en vue d'une divulgation coordonnée."

la Fondation PHP

dans un post de blog

Le dirigeant de Chainguard, Dan Lorenc, défend son choix, et affirme sur LinkedIn qu'il a suivi les consignes de publication coordonnée car les spécialistes constataient déjà des tentatives d'exploitation des failles, après des fuites en début de semaine. "Le problème avec des outils comme l'IA, c'est qu'au moment où toute l'information est rendue publique, les gens peuvent la transformer en arme extrêmement rapidement", pointe auprès de l'AFP Steve Kerrison. "C'est pour ça que tout le monde agit avec une telle urgence pour s'attaquer au problème", ajoute le spécialiste.

Vous pouvez désormais privilégier l'affichage des articles de franceinfo dans les résultats de recherche Google. Comment ça marche ?

Sur le même thème

Shorts

Source: Franceinfo · Luc Chagnon

At a glance

Topic
World
Country
🇫🇷 FR
Publisher language
FR
Added to Allnira