Une agence de l'UE prévient que certains sites web pourraient devoir être mis hors ligne, alors que PHP prépare des correctifs pour remédier à des failles de sécurité

information fournie par Reuters •21/10/2026 à 09:27

((Traduction automatisée par Reuters à l'aide de l'apprentissage automatique et de l'IA générative, veuillez vous référer à l'avertissement suivant: https://bit.ly/rtrsauto))

* Une agence de l'UE indique que ces failles pourraient permettre l'exécution de code à distance

* GoDaddy indique que ces vulnérabilités pourraient entraîner le vol de données ou la prise de contrôle de sites

* Huntress précise que PHP est utilisé par une grande partie du Web, notamment par des sites tels que WordPress, Drupal et Joomla

(Ajout de détails tout au long de l'article; commentaires de Huntress au paragraphe 3; commentaires australiens aux paragraphes 7 et 8)

par Rajveer Pardesi et Raphael Satter

Les développeurs du langage de programmation PHP, largement utilisé, ont annoncé mercredi qu’ils allaient publier des correctifs pour deux vulnérabilités critiques, tandis que les responsables européens de la cybersécurité ont averti que les organisations incapables d’appliquer ces correctifs devraient mettre hors ligne les sites web concernés.

PHP est utilisé sur une grande partie d’Internet, et des spéculations ont circulé au cours des dernières 24 heures selon lesquelles les sites web utilisant ce logiciel pourraient être exposés à de graves cyberattaques.

“PHP est omniprésent. Il fait discrètement fonctionner les sites WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement mutualisé, les panneaux de contrôle et une multitude de logiciels qui ne mentionnent même pas qu’ils utilisent PHP en arrière-plan”, a déclaré la société de cybersécurité Huntress dans un article de blog.

Dans une mise à jour de sécurité, PHP a indiqué que ces deux vulnérabilités avaient reçu une note de 9,2 sur l’échelle de gravité CVSS v4.0 et a exhorté les utilisateurs à “effectuer la mise à jour dès que celle-ci sera disponible”.

Elle a précisé qu’un correctif pour ces deux vulnérabilités était prévu mercredi à 14h00 GMT.

L’équipe européenne d’intervention en cas d’urgence informatique (CERT-EU) a indiqué mardi dans un avis que la note de 9,2 signalait un risque d’exécution de code à distance sans authentification, un type de faille pouvant permettre à des attaquants d’exécuter du code malveillant sur des systèmes vulnérables sans avoir à se connecter.

Le CERT-EU a exhorté les organisations à se préparer à appliquer immédiatement les correctifs sur les ressources concernées et a indiqué que celles qui ne seraient pas en mesure de le faire devraient envisager de mettre hors ligne les sites affectés.

Le Centre australien de cybersécurité (ACSC) a publié des recommandations similaires, exhortant les organisations à identifier les systèmes PHP présents dans leurs environnements, à se préparer à appliquer les correctifs et à surveiller les applications afin de détecter tout signe d’activité malveillante.

“À l’heure actuelle, l’ACSC n’a pas connaissance d’exploitations actives liées à ces vulnérabilités”, a déclaré l’agence.

Le fournisseur d’hébergement web GoDaddy a indiqué que ces failles pourraient permettre à des attaquants d’exécuter du code sur les serveurs concernés via Internet, ce qui pourrait entraîner un vol de données, la défiguration de sites web ou la compromission totale du système.

L’équipe de sécurité de PHP a indiqué que les détails concernant les vulnérabilités, les versions concernées et les versions corrigées seraient publiés lors de la mise à disposition des correctifs.

Le CERT-EU et l’ACSC ont indiqué que toutes les versions de PHP à partir de la version 5 pourraient être concernées, bien que PHP n’ait pas précisé quelles versions étaient vulnérables.