Des millions de sites et de serveurs web font face à des cyberattaques mondiales en raison d’une faille critique de sécurité touchant le langage de programmation PHP expose.
Le problème concerne directement le langage de PHP, la base technologique qui propulse des millions de sites internet, de plateformes de commerce électronique et de systèmes de gestion de contenu comme WordPress, Joomla!, Drupal, Moodle et Typo3. Rien que pour WordPress, les estimations recensent entre 400 et 500 millions de sites actifs à l’échelle planétaire.
Face à l’ampleur de la menace, l’Agence de sécurité nationale des États-Unis (NSA) a émis une mise en garde formelle. D’autres institutions de premier plan, telles que l’Institut national de ciberseguridad (Incibe) en Espagne et l’Office fédéral pour la sécurité de la information (BSI) en Allemagne, ont immédiatement emboîté le pas pour alerter sur la sévérité de la situation.
Des vulnérabilités critiques évaluées à 9,2 sur l’échelle de gravité
Le Centre national espagnol qualifie l’alerte de niveau maximal d’importance critique, attribuant à ces brèches une note de 9,2 sur une échelle allant de 0 à 10. Les défaillances ont reçu les identifiants CVE-2026-109618 et CVE-2026-109619, sous le nom de code « PHP2Shel ». Les agences internationales rapportent que ces failles découlent d’un problème dans la gestion de la mémoire, poussant PHP à traiter des données internes dans un état erroné ou à conserver des informations d’une requête antérieure pour les exploiter incorrectement lors de la suivante.
Cette brèche permet à un acteur malveillant distant et non authentifié d’exécuter du code à distance. L’impact direct donne à l’attaquant la capacité de prendre le contrôle complet d’un serveur web sans posséder les privilèges nécessaires, d’accéder aux bases de données sensibles ou de lire des informations stockées dans la mémoire vive, selon les analyses diffusées par l’entreprise de cybersécurité Wiz.
L’Allemagne active une alerte de niveau 3 et des serveurs sont déconnectés
À Mayence (Mainz), le portail municipal officiel a été coupé de la Toile, redirigeant les citoyens vers un accueil téléphonique et par courrier électronique.
En Allemagne, la BSI a activé une alerte officielle sous la référence BITS‑H n.º 2026‑297981‑1032, plaçant le risque au niveau « 3 / Naranja », ce qui correspond à un degré d’urgence extraordinaire exigeant des actions immédiates. L’agence précise que si le correctif ne peut être appliqué sans délai, les administrateurs doivent envisager l’isolement complet du serveur par rapport à Internet.
La fuite prématurée des détails techniques a intensifié la pression, les spécialistes craignant que des cybercriminels n’utilisent des scripts automatisés pour scanner et pirater les machines vulnérables à grande échelle. Les répercussions se font déjà sentir concrètement dans l’administration publique.
Le premier ministre de Flandre, Matthias Diependaele, a confirmé sur le réseau social X avoir ordonné le retrait temporaire de tous les sites officiels régionaux utilisant ce langage. D’autres pays subissent des perturbations similaires. Aux Pays-Bas et en Belgique, des hôpitaux, des universités, des médias et des entreprises ont coupé leurs services en ligne de manière préventive.
Le correctif est publié pour les gestionnaires de sites
Les équipes de développement de PHP ont officialisé la mise à disposition de la version corrective 8.5.12, publiée ce mercredi à 16h00.
Le CERT-EU, l’équipe européenne de réponse aux incidents informatiques, ainsi que le Centre national de ciberseguridad du Royaume-Uni, enjoignent toutes les organisations concernées à recenser leurs systèmes exposés. Les autorités rappellent que si des correctifs temporaires permettent de réduire l’exposition à certaines routes, seule l’installation de la mise à jour définitive résout l’incident.
Les agences recommandent aux administrateurs de systèmes, aux prestataires informatiques et aux hébergeurs de déployer ce correctif sans délai ou d’isoler les environnements obsolètes qui ne bénéficient plus d’un support officiel.
À lire aussi