Deux vulnérabilités majeures dans PHP, un langage informatique qui fait fonctionner une grande partie du Web, déclenchent une mobilisation internationale. Les correctifs sont disponibles, mais la rapidité de leur déploiement sera déterminante pour éviter des piratages, des vols de données et des interruptions de services. Derrière cette alerte technique se joue aussi la sécurité numérique de millions de citoyens.
Une alerte qui dépasse le monde informatique
L’alerte a retenti le 21 octobre 2026 : deux failles de sécurité critiques ont été rendues publiques dans PHP, un langage de programmation omniprésent sur Internet. Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, elles présentent un niveau de gravité de 9,2 sur 10 selon l’échelle CVSS v4.0. Les équipes de sécurité appellent les organisations concernées à appliquer immédiatement les correctifs publiés.
L’affaire est suffisamment sérieuse pour que des sites institutionnels et d’autres plateformes aient été temporairement rendus indisponibles par précaution, le temps de sécuriser leurs systèmes, selon Reuters. Mais contrairement à certaines formulations alarmistes circulant en ligne, il ne s’agit pas d’une panne générale d’Internet. Le risque est celui d’une vague de compromissions de serveurs insuffisamment protégés.
PHP, une pièce maîtresse de l’économie numérique
Pour comprendre l’ampleur de cette alerte, il faut mesurer la place de PHP dans l’infrastructure du Web. Ce langage permet notamment de générer des pages dynamiques, de gérer des comptes clients, de traiter des formulaires et de communiquer avec des bases de données.
Il est utilisé par de nombreux systèmes de gestion de contenu, dont WordPress, ainsi que par une multitude de sites marchands, de services professionnels et d’applications en ligne.
Selon les estimations relayées par la société de cybersécurité Wiz, PHP est utilisé par environ 70 % des sites web dont le langage côté serveur est connu. Ce chiffre illustre son importance, mais ne signifie pas que 70 % des sites sont vulnérables : l’exposition dépend notamment de la version installée, des correctifs appliqués et de la configuration des serveurs.
Le problème tient à la position de PHP dans la chaîne technique. Une faille dans une application isolée peut affecter un service particulier. Une vulnérabilité dans le moteur même du langage peut, elle, concerner des infrastructures très diverses, indépendamment du site ou de l’entreprise qui les exploite.
Deux failles qui peuvent ouvrir la porte aux pirates
Les deux vulnérabilités, regroupées sous le nom de « PHP2Shell », touchent au fonctionnement interne de PHP et à la gestion de la mémoire.
La première, CVE-2026-109618, concerne un dysfonctionnement pouvant survenir lorsque PHP manque de mémoire. Dans certaines conditions, des données internes peuvent être mal gérées, ouvrant une voie à une corruption de mémoire exploitable.
La seconde, CVE-2026-109619, implique un état interne qui peut subsister après la libération de la mémoire correspondante. Un traitement ultérieur peut alors utiliser des données qui ne devraient plus l’être.
Le danger est particulièrement important : dans certaines configurations, un attaquant pourrait déclencher l’exploitation à distance sans disposer d’un compte ni d’une authentification préalable. Il pourrait alors exécuter du code sur le serveur visé.
Selon les privilèges obtenus et les protections en place, les conséquences peuvent aller du détournement d’un site au vol de données, en passant par l’installation de logiciels malveillants et la compromission d’autres systèmes accessibles depuis le serveur.
Les autorités européennes et les organismes de cybersécurité recommandent donc aux organisations concernées d’identifier leurs installations vulnérables et de les corriger sans délai.
Des correctifs disponibles, mais une course contre la montre
Le projet PHP a publié le 21 octobre des versions corrigeant les deux failles : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
La priorité est désormais leur déploiement sur les serveurs exposés à Internet. Cette opération n’est pas toujours immédiate : certaines organisations gèrent des milliers de machines, des applications anciennes ou des logiciels dont la compatibilité doit être vérifiée avant toute mise à jour.
Les systèmes qui utilisent PHP 8.1 ou une version antérieure nécessitent une attention particulière, car ces branches ne bénéficient plus des mises à jour de sécurité ordinaires du projet PHP. Certains fournisseurs peuvent toutefois proposer leurs propres correctifs.
Les protections intermédiaires, telles que les pare-feu applicatifs, peuvent réduire certains risques, mais elles ne remplacent pas l’installation d’une version corrigée. Le projet PHP précise qu’aucune mesure de contournement ne constitue une solution complète.
Quels risques pour les citoyens ?
Pour le grand public, la menace est indirecte, mais loin d’être négligeable. Un internaute n’a pas besoin d’utiliser lui-même PHP pour être concerné : il suffit qu’un service dont il dépend soit compromis.
Un site marchand piraté pourrait exposer des informations personnelles ou des données liées aux commandes. Une plateforme professionnelle pourrait subir une interruption. Un serveur compromis pourrait également servir de point de départ à d’autres attaques.
Il faut toutefois distinguer les possibilités techniques des incidents effectivement constatés. La gravité d’une vulnérabilité ne prouve pas, à elle seule, qu’un compte bancaire a été piraté ou que des données ont été dérobées. Au moment de la publication des premières alertes, les informations disponibles ne permettaient pas de conclure à une exploitation généralisée.
Les internautes doivent donc rester vigilants sans céder à la panique.
Les précautions à prendre dès maintenant
Pour les particuliers, quelques réflexes restent essentiels :
– Maintenir ses appareils et applications à jour. Les mises à jour des systèmes, navigateurs et applications corrigent de nombreuses failles, même si elles ne suffisent pas à réparer directement un serveur distant.
– Activer l’authentification multifacteur sur les comptes importants, notamment les comptes de messagerie, bancaires et professionnels.
– Se méfier des messages alarmistes qui invitent à cliquer sur un lien, télécharger un prétendu correctif ou communiquer ses identifiants.
– Surveiller les activités inhabituelles sur ses comptes et contacter rapidement sa banque ou le fournisseur concerné en cas d’opération suspecte.
– Utiliser des mots de passe uniques et un gestionnaire de mots de passe afin de limiter les conséquences d’une éventuelle fuite.
Les propriétaires de sites, eux, doivent vérifier la version de PHP utilisée, appliquer les correctifs appropriés, examiner les journaux de connexion et rechercher d’éventuels signes de compromission. En cas de suspicion, une simple mise à jour ne suffit pas toujours : une investigation de sécurité peut être nécessaire.
Un rappel sur notre dépendance numérique
Cette affaire révèle une fragilité structurelle de l’économie numérique : une vulnérabilité dans un composant largement partagé peut obliger des milliers d’organisations à réagir simultanément. La sécurité d’un service dépend souvent de logiciels invisibles pour ses utilisateurs, mais indispensables à son fonctionnement.
L’intelligence artificielle a également contribué à cette découverte, selon les équipes de recherche impliquées. Cette évolution ouvre des perspectives pour détecter plus rapidement les erreurs informatiques, tout en rappelant que les mêmes capacités peuvent aussi accélérer l’analyse et l’exploitation de failles par des acteurs malveillants.
L’enjeu n’est donc pas la disparition d’Internet, mais la capacité collective à sécuriser rapidement ses fondations. Pour les entreprises, cela suppose des mises à jour régulières, des systèmes surveillés et des plans de réponse aux incidents. Pour les citoyens, la meilleure protection reste une vigilance mesurée, des comptes bien sécurisés et une information vérifiée.
La leçon est claire : dans un monde où les services essentiels dépendent de logiciels interconnectés, une faille technique peut rapidement devenir un enjeu économique, social et démocratique.
By Marguerite Ndongo — Journalist
Section feedGet new articles in your favourite feed reader
