S.Ba.
22 Octobre 2026
À 08:29
La découverte de deux vulnérabilités critiques dans
PHP, l’un des langages de programmation les plus utilisés pour faire fonctionner les
sites Internet, a provoqué une mobilisation des autorités de
cybersécurité à travers le monde, mercredi 21 octobre 2026. Face au risque d’exploitation de ces failles par des pirates informatiques, plusieurs sites web ont été temporairement mis hors ligne ou placés en maintenance par mesure de précaution.
Au Maroc, la
Direction générale de la sécurité des systèmes d’information (DGSSI), relevant de l’Administration de la Défense nationale, a publié le même jour un bulletin de sécurité classant le risque et son impact au niveau « critique ».
Les deux vulnérabilités, identifiées sous les références
CVE-2026-109618 et CVE-2026-109619 et regroupées sous l’appellation « PHP2Shell », pourraient permettre à des cybercriminels d’exécuter du code malveillant à distance sur des serveurs vulnérables, sans disposer au préalable d’identifiants d’accès.
La menace est d’autant plus préoccupante qu’un code permettant de démontrer l’exploitation de ces failles (PoC) est déjà accessible publiquement, ce qui augmente le risque de tentatives d’intrusion.
Pourquoi cette alerte concerne de nombreux sites Internet
PHP constitue l’une des technologies essentielles au fonctionnement de nombreux sites web et applications en ligne. Il est notamment utilisé dans des systèmes de gestion de contenu comme
WordPress, Drupal ou Joomla, qui permettent de créer et d’administrer des plateformes numériques.
Contrairement à une vulnérabilité limitée à un site ou à une application particulière, les deux failles découvertes affectent directement le fonctionnement de PHP. Elles peuvent donc concerner un large éventail de plateformes utilisant des versions vulnérables de cette technologie.
La gravité de la situation a conduit plusieurs organismes internationaux de cybersécurité à publier des alertes. Des mesures de précaution ont également été prises sur certains sites Internet, notamment en France, où des plateformes publiques ont été temporairement rendues indisponibles afin de limiter les risques.
L’équipe chargée de la sécurité de PHP a publié, mercredi 21 octobre, des correctifs destinés à combler les deux vulnérabilités, évaluées chacune à 9,2 sur 10 sur l’échelle internationale CVSS, qui mesure la gravité des failles informatiques.
Des risques de piratage et de vol de données
Dans son bulletin, la DGSSI met particulièrement en garde contre deux conséquences majeures : l’exécution de code arbitraire à distance et l’atteinte à la confidentialité des données.
Concrètement, l’exploitation de ces vulnérabilités pourrait permettre à un attaquant de faire exécuter des instructions malveillantes par un serveur vulnérable, avec le risque d'accéder à des informations sensibles ou de compromettre le fonctionnement des services hébergés.
Les conséquences potentielles concernent aussi bien les entreprises privées que les administrations et les organismes exploitant des sites web ou des applications reposant sur PHP.
La DGSSI précise que plusieurs environnements techniques sont concernés, notamment les installations utilisant PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed.
L'alerte ne signifie toutefois pas que tous les sites utilisant PHP ont été piratés. Elle concerne les installations vulnérables, dont la sécurité dépend notamment de la version du logiciel utilisée et de l'application des correctifs disponibles.
Des mises à jour de sécurité à installer en urgence
Face à cette menace, la DGSSI invite les responsables des systèmes d’information à se référer au bulletin officiel de sécurité publié par PHP le 21 octobre 2026.
Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les administrateurs sont appelés à vérifier les versions installées sur leurs serveurs et à appliquer rapidement les mises à jour correspondantes.
Pour les installations utilisant PHP 8.1 ou des versions antérieures, qui ne bénéficient plus du support régulier du projet PHP, une migration vers une version maintenue est recommandée.
L’équipe de sécurité de PHP précise que les mesures temporaires de protection ne constituent pas une solution complète et que l’installation des correctifs demeure indispensable pour éliminer les vulnérabilités.
Cette alerte mondiale rappelle ainsi la nécessité, pour les entreprises et les administrations, de maintenir leurs infrastructures numériques à jour afin de réduire leur exposition aux cyberattaques et de protéger les données qu’elles hébergent.