Failles dans PHP : pourquoi de nombreux sites Web ont été coupés ce mercredi

Deux failles critiques dans PHP, le langage qui fait tourner une grande partie des sites Web, ont fuité avant leur correction. Résultat : une journée d'alerte mondiale, des sites coupés par précaution et une course contre la montre.

Ce mercredi 21 octobre restera comme une journée noire pour Internet. Et pas à cause de la panne géante qui a touché le réseau mobile d'Orange en France (voir notre article) Partout dans le monde, de nombreux sites Web ont affiché un étrange message de maintenance, ou sont tout simplement devenus inaccessibles. Certains sites sensibles se sont même coupés volontairement en fin de matinée, par précaution. La raison : deux failles de sécurité critiques dans PHP, l'un des piliers techniques du Web, dont l'existence a fuité avant que leur correctif ne soit prêt, comme l'explique le CERT, le centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, a publié une alerte ce matin. 

PHP : un moteur invisible du Web

Le grand public ne le connaît pas, mais il l'utilise tous les jours. PHP est un langage de programmation créé au milieu des années 1990, qui fonctionne sur les serveurs, ces ordinateurs qui hébergent les sites Web. C'est lui qui fabrique les pages à la volée, quand on se connecte à son compte, qu'on remplit un panier ou qu'on publie un commentaire.

Son poids est considérable. Selon les estimations les plus courantes, PHP fait tourner près de 70 % des sites Web dont la technologie est identifiable. On le retrouve derrière WordPress, l'outil de création de sites le plus utilisé au monde, mais aussi derrière Drupal, Joomla ou Magento, très prisé des boutiques en ligne. "PHP est omniprésent", résume la société de cybersécurité Huntress, citée par Reuters. Il équipe aussi une multitude de logiciels qui ne mentionnent même pas qu'ils l'utilisent.

PHP : deux failles critiques… et une fuite

Les deux failles portent les références CVE-2026-109618 et CVE-2026-109619 dans le registre public international qui recense les vulnérabilités. Elles ont reçu la note de 9,2 sur 10 sur l'échelle de gravité CVSS, qui sert de référence dans le secteur. Leur point commun est redoutable : elles permettraient une exécution de code à distance. Autrement dit, un pirate pourrait envoyer ses propres instructions à un serveur, et ce dernier les exécuterait sans broncher, sans même que l'attaquant ait besoin de s'identifier. Selon l'hébergeur GoDaddy, cité par Reuters, cela pourrait conduire au vol de données, à la modification de sites, voire à une prise de contrôle complète du serveur.

D'un point de vue technique, la première faille vient d'une corruption de la mémoire lorsque celle-ci est saturée. La seconde tient à des informations restées en mémoire après la fin d'une requête, alors qu'elles auraient dû être effacées.

Les chercheurs qui les ont découvertes, notamment ceux des sociétés de sécurité Calif et Wiz Research, les avaient signalées discrètement aux développeurs de PHP dès le mois d'août. C'est la procédure habituelle, dite de divulgation coordonnée : chercheurs et éditeur gardent le secret le temps de préparer un correctif, pour ne pas donner d'avance aux pirates.

Mais le mardi 20 octobre, ce fragile équilibre a volé en éclats. Un message publié sur le forum Hacker News, supprimé depuis, annonçait les deux failles, vidéo à l'appui, avec un outil baptisé " PHP2Shell " prenant le contrôle de sites WordPress, Drupal ou Magento. La société de sécurité watchTowr a ensuite confirmé que les failles étaient bien réelles.

Pris de court, l'équipe de PHP a publié dans la soirée une annonce inhabituelle : un correctif serait disponible le lendemain, mercredi, à 16 heures, heure de Paris. Un délai extrêmement court pour un projet de cette ampleur.

PHP : une journée sous haute tension

Pendant ces quelques heures, les autorités de cybersécurité se sont mobilisées. Le CERT-EU, l'équipe d'intervention en cas d'urgence informatique des institutions européennes, a exhorté les organisations à se préparer à appliquer les correctifs immédiatement, et à envisager de mettre hors ligne les sites concernés si elles ne pouvaient pas le faire. Son homologue australien a publié des recommandations similaires.

D'où les coupures observées dans la journée. De nombreux sites dans le monde, y compris en France, ont préféré se mettre en maintenance plutôt que de rester exposés, à l'instar de l'ensemble des sites des préfectures, des impôts ou de Météo France. Un choix jugé raisonnable par Gina Peter Banyard, l'une des développeuses principales de PHP, selon la société Sansec.

Le risque n'était pas théorique. Le directeur technique de Cloudflare, l'un des principaux prestataires de sécurité du Web, a indiqué avoir observé les premières attaques dès le matin, avant même la publication du correctif, et déployé des protections provisoires. Les autres sources se montraient plus prudentes en fin de matinée : l'agence australienne de cybersécurité n'avait alors connaissance d'aucune attaque active.

À 16 h, PHP a publié les versions corrigées : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Mais la publication d'un correctif ouvre une nouvelle phase de danger. En comparant l'ancien et le nouveau code, les pirates peuvent localiser précisément la faille et fabriquer une attaque. Sansec s'attendait ainsi à des attaques de masse dans le quart d'heure suivant la publication.

PHP : un problème pour les entreprises

Un autre problème inquiète les spécialistes : les anciennes versions de PHP. Les failles toucheraient la plupart des versions publiées depuis une vingtaine d'années, depuis les versions 5.x, alors que seules les branches 8.2 et suivantes sont encore officiellement maintenues. Or une part importante des sites tourne encore sur des versions plus anciennes, que l'équipe de PHP ne met plus à jour. Selon certaines sources, des correctifs adaptés aux versions 7.4, 8.0 et 8.1 ont tout de même été publiés sous forme de code source, mais leur installation demande des compétences techniques et risque de rester marginale. Des milliers de sites pourraient donc rester vulnérables pendant longtemps.

Pour les particuliers, il n'y a pas grand-chose à faire directement : la correction est l'affaire des hébergeurs et des administrateurs de sites. Quelques précautions restent toutefois utiles pendant les prochains jours.

Si vous possédez un site Web, par exemple sous WordPress, vérifiez auprès de votre hébergeur que le correctif a bien été appliqué. La plupart des grands hébergeurs s'en chargent eux-mêmes, mais pas tous. Si vous administrez vous-même un serveur, la priorité est d'installer immédiatement l'une des versions corrigées, et de vérifier dans le journal des modifications de votre distribution que les deux numéros CVE y figurent bien. Certains dépôts de logiciels très utilisés, maintenus par des bénévoles, n'avaient pas encore publié les mises à jour mercredi soir.

Pour les achats en ligne, la vigilance reste toutefois de mise le temps que tous les sites soient corrigés. Un site piraté peut en effet servir à voler des numéros de carte bancaire. Privilégier des moyens de paiement qui ne transmettent pas directement votre numéro de carte, comme les portefeuilles électroniques ou les cartes virtuelles, limite les risques. Méfiez-vous aussi des e-mails ou des SMS qui profiteraient de l'actualité pour vous pousser à cliquer sur un lien.

Ces failles rappellent une réalité trop souvent oubliée : une grande partie du Web repose sur des logiciels libres, entretenus par des équipes restreintes, parfois bénévoles, dont le travail passe inaperçu jusqu'au jour où quelque chose déraille. Ce mercredi, c'est leur réactivité qui a permis d'éviter le pire, même si la partie est loin d'être terminée.