Deux failles critiques dans PHP provoquent une mobilisation mondiale
Deux failles critiques dans PHP, surnommées «PHP2Shell», ont entraîné la mise hors ligne préventive de nombreux sites web. Cloudflare signale des millions de tentatives d'exploitation. La PHP Foundation reconnaît qu'un problème à l'origine de l'une des vulnérabilités avait déjà été identifié en 2024.
L’alerte s’est propagée comme une traînée de poudre le 21 octobre: deux failles critiques dans PHP menacent la sécurité de nombreux sites web à travers le monde. L'Office fédéral de la cybersécurité (OFCS), entre autres, a averti que ces vulnérabilités pourraient permettre à des attaquants d'exécuter du code malveillant sur les serveurs concernés sans authentification. L'autorité suisse a recommandé l'installation immédiate des correctifs.
La menace s'est rapidement concrétisée sous la forme de tentatives d'exploitation massives. Le directeur général de Cloudflare, Matthew Prince, a indiqué sur X que son entreprise avait observé des milliers de tentatives avant la divulgation publique des failles, puis des dizaines de milliers dans les 45 minutes suivantes. Leur nombre a ensuite atteint plusieurs millions. Ces chiffres ne correspondent toutefois pas à des intrusions réussies, dont l'ampleur reste difficile à évaluer.
De nombreux sites débranchés par précaution
Face au risque, de nombreuses organisations ont préféré suspendre leurs services web. En Suisse romande, les sites des universités de Genève et de l’EPFL ont par exemple été temporairement débranchés, a observé la rédaction d’ICTjournal. Des administrations et établissements publics ont pris des mesures similaires ailleurs en Europe, notamment en France, en Allemagne et aux Pays-Bas, rapporte Reuters.
Ces interruptions résultent principalement de décisions préventives, et non de compromissions avérées. Elles illustrent les arbitrages auxquels sont confrontés les responsables informatiques lorsqu'une vulnérabilité critique est divulguée avant que tous les systèmes aient pu être sécurisés.
Les deux vulnérabilités, surnommées «PHP2Shell» et référencées CVE-2026-109618 et CVE-2026-109619, ont chacune reçu un score de gravité de 9,2 sur 10. Dans un billet publié le 21 octobre, la PHP Foundation reconnaît qu'un problème à l'origine de la première faille avait déjà été identifié en 2024, sans que son potentiel d'exploitation soit alors pleinement compris. L'organisation attribue le retard de sa correction à des difficultés de prise de décision et au manque de ressources de son équipe de sécurité.
Les développeurs de PHP ont publié les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Ils soulignent qu'aucune mesure d'atténuation ne remplace complètement la mise à jour. L'OFCS rappelle par ailleurs que le risque concerne aussi les applications internes, les interfaces d'administration et les équipements embarquant PHP.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
