Une agence de cybersécurité alerte sur de possibles pannes de sites web liées à un correctif critique de PHP

information fournie par Reuters •21/10/2026 à 13:25

par Rajveer Pardesi et Raphael Satter

Les développeurs du langage de programmation PHP, principalement utilisé pour produire des pages internet dynamiques, ont annoncé mercredi qu'ils allaient publier des correctifs pour deux failles critiques.

Cela a conduit des responsables européens de la cybersécurité à exhorter les organisations incapables d'appliquer ces correctifs à mettre hors ligne les sites web concernés.

PHP est utilisé sur une grande partie d'Internet et des rumeurs ont circulé ces dernières heures selon lesquelles les sites web utilisant ce langage pourraient être exposés à de graves cyberattaques.

"PHP est omniprésent. Il fait discrètement fonctionner les sites WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement mutualisé, les panneaux de contrôle et une multitude de logiciels qui ne mentionnent même pas qu’ils utilisent PHP en arrière-plan", a déclaré la société de cybersécurité Huntress dans un article de blog.

Dans une mise à jour de sécurité, PHP a indiqué que ces deux vulnérabilités avaient reçu une note de 9,2 sur l'échelle de gravité CVSS v4.0 et a exhorté les utilisateurs à "effectuer la mise à jour dès que celle-ci sera disponible".

Elle a précisé qu’un correctif pour ces deux vulnérabilités était prévu mercredi à 14h00 GMT.

Dane Knecht, directeur technique de la société de sécurité Web et cloud Cloudflare NET.N , a déclaré que des attaques commençaient à apparaître et que Cloudflare mettait à jour ses règles de pare-feu à titre de mesure provisoire.

"Nous constatons l’apparition des premières attaques et mettons à jour nos mesures d’atténuation à mesure que de nouveaux vecteurs apparaissent. Il ne s’agit que d’une SOLUTION PROVISOIRE. Appliquez le correctif dès que PHP publiera la mise à jour", a-t-il déclaré sur X.

L’équipe européenne d’intervention en cas d’urgence informatique (CERT-EU) a exhorté les organisations à se préparer à appliquer immédiatement les correctifs sur les ressources concernées et a indiqué que celles qui ne sont pas en mesure de le faire devraient envisager de mettre hors ligne les sites affectés.

Le Centre australien de cybersécurité (ACSC) a publié des recommandations similaires, exhortant les organisations à identifier les systèmes PHP présents dans leurs environnements, à se préparer à appliquer les correctifs et à surveiller les applications afin de détecter tout signe d’activité malveillante.

"À l’heure actuelle, l’ACSC n’a pas connaissance d’exploitations actives liées à ces vulnérabilités" a déclaré l’agence.

Le fournisseur d’hébergement web GoDaddy a indiqué que ces failles pourraient permettre à des pirates d’exécuter du code sur les serveurs concernés via Internet, ce qui pourrait entraîner le vol de données, la défiguration de sites web ou la compromission totale du système.

L’équipe de sécurité de PHP a dit que les détails concernant les vulnérabilités, les versions concernées et les versions corrigées seraient publiés lors de la mise à disposition des correctifs.

Le CERT-EU et l’ACSC ont noté que toutes les versions de PHP à partir de la version 5 pourraient être concernées, bien que PHP n’ait pas précisé quelles versions étaient vulnérables.

(Rajveer Singh Pardesi, Devika Nair et Shubham Kalia à Bangalore et Raphael Satter, Version française Matthieu Huchet, édité par Benoit Van Overstraeten)