// LES NUMÉRIQUES — CYBERSECURITY
Actualité : Faille PHP : des milliers de sites pourraient être coupés d’Internet cet après-midi, l’UE tire la sonnette d’alarme
Rendez-vous à 16 heures. Deux brèches notées 9,2 sur 10 ont été découvertes dans PHP, le langage qui fait tourner près de sept sites sur dix, et elles ont fuité avant l'heure. Bruxelles conseille déjà de débrancher les sites impossibles à corriger, et plus d'un site PHP sur trois tourne sur une version que personne ne réparera.
© R.Narong - Du code PHP gérant la connexion à un site : ce langage fait tourner près de sept sites sur dix, et deux failles critiques y seront corrigées ce mercredi à 16 h.
Mardi 20 octobre au soir, l'équipe de sécurité de PHP a diffusé un avis aussi laconique qu'alarmant. Une mise à jour corrigeant deux vulnérabilités critiques, chacune notée 9,2 sur l'échelle CVSS v4.0, sortira ce mercredi 21 octobre à 14 h UTC, soit 16 h à Paris. Une fuite a précipité le calendrier. Quelques heures plus tôt, un message posté sur le forum Hacker News, effacé depuis, annonçait deux failles et leur divulgation prévue le 22 octobre. Les chercheurs de watchTowr, dans la confidence, ont aussitôt confirmé.
We were all supposed to wait until Thursday at 11am ET. Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they're real. CVE-2926-109618/619We cannot share further information right now. Take this seriously and apply patches when available. pic.twitter.com/kguM8fpq13
PHP garde le mode opératoire sous scellés. D'après watchTowr, les deux brèches, référencées CVE-2026-109618 et CVE-2026-109619, permettraient d'exécuter du code à distance. Un pirate pourrait donc prendre la main sur un serveur sans le moindre identifiant. WordPress, Drupal, Joomla, Magento et PrestaShop reposent tous sur ce langage, présent sur 69,3 % des sites dont la technologie serveur est identifiée, selon W3Techs.
Les deux sont notées 10 et toucheraient les versions 5, 6, 7 et 8 de PHP.
Maigre consolation : aucune attaque n'a été repérée à ce stade. Le compte à rebours tourne pourtant. Les détails techniques paraîtront avec le correctif, et attaquants comme défenseurs partiront de la même ligne de départ. PHP se réserve même le droit d'avancer l'horaire si les informations circulent ou si une exploitation apparaît.
Dans son avis du 20 octobre, le CERT-EU, l'équipe de cybersécurité des institutions européennes, demande de se tenir prêt à corriger immédiatement. À défaut, il recommande d'envisager l'isolement des applications exposées sur Internet. Voilà d'où viennent les rumeurs de coupures : des sites débranchés de leur plein gré, faute de remède.
Seules les branches 8.2 à 8.5 recevront un correctif. Or 27 % des sites PHP tournent encore sous PHP 7, et 7,7 % sous PHP 5, une version née en 2004.
Sur un hébergement mutualisé, la tâche revient à l'hébergeur : interrogez-le sur son calendrier. Sur un serveur administré soi-même, la commande php -v révèle la version installée. Prévoyez une sauvegarde fraîche et un créneau de maintenance dès ce soir.