DécryptageVoix de synthèse (IA)
CVE-2026-109618 et CVE-2026-109619 permettent l'exécution de code à distance, et NOS a évalué chacune à 9,2 sur une échelle de 1 à 10. La PHP Foundation indique que seules les versions PHP 8.2 et ultérieures reçoivent encore des correctifs.
La Finlande a mis hors ligne tous ses sites gouvernementaux, et le ministère français de l'Intérieur a signalé que les sites des administrations locales étaient inaccessibles. L'agence néerlandaise de cybersécurité s'est également mise hors ligne par précaution.
Dane Knecht, directeur technique de Cloudflare, a indiqué que les premières attaques émergeaient, et Sansec s'attendait à des attaques massives dans les 15 minutes suivant la publication. Matthijs Koot a déclaré que du code d'exploitation circulait déjà.
Les développeurs de PHP ont confirmé la mise à jour le mercredi 21 octobre, et NOS a rapporté qu'elle est arrivée vers quatre heures de l'après-midi. Wordfence a averti que les mises à jour automatiques n'appliqueraient pas le correctif.
Deux vulnérabilités critiques dans PHP, le langage de programmation sur lequel repose une grande partie du web, ont poussé des administrateurs à travers l'Europe à mettre des sites hors ligne le mercredi 21 octobre. Les développeurs de PHP avaient prévenu le mardi 20 octobre qu'un correctif était en préparation. Tôt le mercredi, des captures d'écran décrivant les failles sont apparues sur X après la publication de détails sur un forum de hackers populaire, et NRC a rapporté que ces détails permettaient aux hackers de chercher et d'exploiter la brèche. Les développeurs ont ensuite confirmé qu'une mise à jour corrective était disponible, et NOS a rapporté qu'elle est arrivée vers quatre heures de l'après-midi, alors que la faille semblait déjà exploitée depuis plusieurs heures.
Les deux failles, CVE-2026-109618 et CVE-2026-109619, sont suivies sous le nom PHP2Shell, selon N-tv. Elles permettent à des criminels d'exécuter leur propre code sur les serveurs affectés à distance, ce qui pourrait livrer le contrôle total d'un site ou l'accès aux données des clients. NOS a évalué chaque faille à 9,2 sur l'échelle CVE, qui va de 1 à 10. La PHP Foundation a indiqué que les failles touchent toutes les installations PHP servant des requêtes web depuis PHP 5, publié en juillet 2004, mais que seules les versions PHP 8.2 et ultérieures reçoivent encore des correctifs. Wordfence a averti que les mises à jour automatiques n'appliqueraient pas le correctif, et que les propriétaires de sites doivent donc identifier qui met à jour PHP sur leurs serveurs.
Données tirées du texte de l’article
Plusieurs gouvernements ont agi par précaution. La Finlande a mis hors ligne tous ses sites gouvernementaux, tandis que le ministère français de l'Intérieur a indiqué que les sites des administrations locales étaient temporairement inaccessibles. Aux Pays-Bas, DigiD, Thuisarts.nl et le site de la Tweede Kamer ont été coupés, tout comme des parties du Centre national de cybersécurité (NCSC) et des sites de médias et de partis politiques. À Rotterdam, le site d'information Rijnmond Veilig, l'opérateur de transport RET et le port de Rotterdam étaient hors ligne, et le port a déclaré n'avoir constaté aucun problème opérationnel. En Belgique, la plateforme scolaire Smartschool, les titres Libelle et Knack et plusieurs hôpitaux autour d'Anvers étaient inaccessibles, tandis qu'en Allemagne les sites du Bade-Wurtemberg, de la ville de Mayence, de la Charité de Berlin et du ministère fédéral du Bâtiment étaient coupés. La Wikimedia Foundation a également fermé certains de ses systèmes.
Dane Knecht, directeur technique de Cloudflare, a déclaré sur X que l'entreprise mettait à jour ses règles de pare-feu à titre provisoire.
« Nous voyons émerger les premières attaques et nous mettons à jour les mesures d'atténuation à mesure que de nouveaux vecteurs apparaissent. »
Il a souligné que cette mesure n'était que temporaire et a exhorté les opérateurs à installer la version dès sa publication. Sansec, une société de sécurité, avait écrit avant les correctifs qu'elle s'attendait à des attaques massives dans les 15 minutes suivant la publication. Les avis de la PHP Foundation étaient sans détour sur les options disponibles.
« Il n'existe pas d'atténuation complète, la mise à jour est la seule option sûre. »
NOS a noté que le filtrage du trafic suspect ne pouvait pas arrêter toutes les tentatives, ce qui explique pourquoi de nombreux opérateurs ont coupé leurs sites plutôt que d'attendre le correctif.
Lukasz Olejnik, consultant indépendant en sécurité et chercheur principal invité au King's College de Londres, a décrit la situation sans détour.
« Ce n'est pas un exercice. »
Il a comparé PHP à une infrastructure critique, avertissant que des millions de systèmes pourraient être touchés et que le pire scénario serait un logiciel malveillant capable de se propager seul sur une large partie d'internet. Matthijs Koot, de Bureau Veritas Cybersecurity, a déclaré mercredi matin qu'il avait mis son propre site hors ligne et que du code d'exploitation circulait déjà. L'expert internet Bert Hubert a estimé qu'être hors ligne valait mieux qu'être piraté, et il a soutenu la décision de couper DigiD. Huntress, une société de cybersécurité, a écrit que PHP est partout, soulignant qu'il fait tourner les sites WordPress, Drupal, Joomla et Magento, les plateformes d'hébergement mutualisé et de nombreux programmes qui ne le mentionnent pas.
Pollar est gratuit et sans publicité dans le texte. Ses membres le font vivre.
Soutenir PollarNumérique · Rotterdam et Anvers
Deux failles critiques dans le langage PHP ont conduit des sites gouvernementaux, hospitaliers et publics de plusieurs pays européens à être mis hors ligne le mercredi 21 octobre. Les développeurs de PHP ont publié une mise à jour corrective dans l'après-midi.
Texte IA fondé sur les articles de The Independent, NRC, AD.nl et d’autres médias. Modifié .