21 octobre 2026Reuters

Des sites gouvernementaux hors service sur fond de failles dans PHP, un correctif critique attendu

par Rajveer Pardesi et Raphael Satter

21 octobre (Reuters) – Les développeurs du langage de programmation PHP, principalement utilisé pour produire des pages internet dynamiques, ont annoncé mercredi qu’ils allaient publier des correctifs pour deux failles critiques.

Cela a conduit des responsables européens de la cybersécurité à exhorter les organisations incapables d’appliquer ces correctifs à mettre hors ligne les sites web concernés.

PHP est utilisé sur une grande partie d’Internet et des rumeurs ont circulé ces dernières heures selon lesquelles les sites web utilisant ​ce langage pourraient être exposés ‌à de graves cyberattaques.

Alors que des informations suggèrent que des pirates informatiques exploitent ​déjà ces failles pour s’introduire sur ⁠des sites internet, des administrations publiques, aux Pays-Bas et en Finlande notamment, ont mis leurs sites hors ligne ‌par mesure de précaution.

Le ministère français ‌de l’Intérieur a annoncé avoir temporairement mis hors ligne les sites web des services administratifs des collectivités locales, dans l’attente d’un correctif de sécurité pour le framework PHP qu’ils utilisent.

« Par mesure de précaution, les sites web des préfectures ont été temporairement mis hors ligne dans l’attente de la ​publication d’un correctif de sécurité par l’éditeur du framework », précisé le ministère dans un communiqué.

« PHP est omniprésent. Il fait discrètement fonctionner les sites WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement mutualisé, les panneaux de contrôle et une multitude de logiciels qui ne mentionnent même pas qu’ils utilisent PHP en arrière-plan », a déclaré la société de cybersécurité Huntress dans un article de blog.

Dans une mise à jour de sécurité, PHP a indiqué que ces deux vulnérabilités avaient reçu une note de 9,2 sur l’échelle de gravité CVSS ⁠v4.0 et a exhorté les utilisateurs à « effectuer la mise à jour dès que celle-ci sera disponible ». 

La nouvelle version corrigeant ces deux vulnérabilités est disponible depuis 14h00 ⁠GMT, comme l’avaient annoncé les développeurs du langage PHP. La Wikimedia Foundation, l’exploitant de l’encyclopédie en ligne Wikipedia a ainsi dit faire le nécessaire.

SE METTRE HORS LIGNE SI NÉCESSAIRE

Dane Knecht, directeur technique de la société de sécurité Web et cloud Cloudflare, a déclaré que des attaques commençaient à apparaître et que Cloudflare mettait à jour ses règles de pare-feu à titre de mesure provisoire.

« Nous constatons l’apparition des premières attaques et mettons à jour nos mesures d’atténuation à mesure que de nouveaux ⁠vecteurs ‌apparaissent. Il ne s’agit que d’une SOLUTION PROVISOIRE. Appliquez le correctif dès que PHP publiera la mise à jour », a-t-il déclaré ⁠sur X.

L’équipe européenne d’intervention en cas d’urgence informatique (CERT-EU) a exhorté les organisations à se préparer à appliquer ​immédiatement les correctifs sur les ​ressources concernées et a indiqué que celles qui ne sont pas en mesure de le faire devraient envisager de mettre hors ligne les sites affectés.

L’Agence de ​sécurité nationale (NSA) américaine et le Centre australien de cybersécurité (ACSC)ont publié des recommandations similaires, exhortant les organisations à identifier les systèmes PHP présents dans leurs environnements, à se préparer à appliquer les correctifs et à surveiller les ‌applications afin de détecter tout signe ​d’activité malveillante.

Les agences de cybersécurité au Japon et au Royaume-Uni ont également exhorté les utilisateurs de PHP à effectuer immédiatement la mise à jour ou à mettre leurs ​sites web hors ligne jusqu’à ce que les correctifs puissent être appliqués.

L’agence néerlandaise de cybersécurité s’est elle-même mise hors ligne, expliquant qu’elle avait pris cette mesure par précaution en raison de ces vulnérabilités.

Le fournisseur d’hébergement web GoDaddy a indiqué que ces failles pourraient permettre à des pirates d’exécuter du code sur les serveurs concernés via Internet, ce qui pourrait entraîner le vol de données, la défiguration de sites web ou la compromission totale du système.

L’équipe de sécurité de PHP a dit que les détails concernant les vulnérabilités, les versions concernées et les ⁠versions corrigées seraient publiés lors de la mise à disposition des correctifs.

Le CERT-EU et l’ACSC ont noté que toutes les versions de PHP à partir de la version 5 pourraient être concernées, bien que PHP n’ait pas précisé quelles versions étaient vulnérables.

(Rajveer Singh ​Pardesi, Devika Nair et Shubham Kalia à Bangalore, Charlotte Van Campenhout à Paris et Raphael ​Satter, Version française Matthieu Huchet, édité par Benoit Van Overstraeten)