Deux vulnérabilités PHP critiques menacent des millions de sites, l’UE alerte sur des fermetures

Le langage de programmation PHP fait face à une alerte de sécurité majeure. Deux failles critiques, évaluées à 9,2/10, viennent d’être découvertes, menaçant potentiellement une grande partie du web. Les correctifs d’urgence sont attendus dans la journée.

Deux failles critiques dans PHP exigent une action immédiate

Deux vulnérabilités de sécurité critiques ont été identifiées dans PHP, l’un des langages serveur les plus utilisés au monde. Cette découverte a déclenché des avertissements urgents de la part des autorités, soulevant des inquiétudes pour la sécurité d’innombrables sites web.

D’après Reuters, l’équipe de développement de PHP a annoncé des correctifs d’urgence pour deux failles, référencées CVE-2026-109618 et CVE-2026-109619. Elles présentent toutes deux un niveau de gravité CVSS v4.0 critique de 9,2 sur 10. Les correctifs doivent être publiés ce 21 octobre à 14h00 UTC.

Les implications sont considérables, PHP alimentant une part substantielle d’internet. De nombreux sites construits avec des plateformes populaires comme WordPress, Drupal, Joomla et Magento sont concernés, ainsi que d’innombrables applications web, plateformes d’hébergement et panneaux d’administration.

L’équipe d’intervention européenne conseille de déconnecter les sites vulnérables

Le Computer Emergency Response Team de l’Union européenne (CERT-EU) a publié un avis de sécurité urgent. Il avertit que ces failles pourraient permettre une exécution de code à distance sans authentification (RCE), donnant à des acteurs malveillants la possibilité d’exécuter du code arbitraire sur les serveurs affectés sans identifiants de connexion.

De telles attaques pourraient conduire à un vol d’informations, la défiguration de sites, un accès non autorisé à des systèmes sensibles, voire la compromission totale des serveurs vulnérables.

D’après le CERT-EU, les versions de PHP remontant jusqu’à PHP 5 pourraient être potentiellement affectées. L’équipe de développement n’a pas encore officiellement communiqué la liste complète des versions vulnérables ni la nature technique précise des failles.

L’agence recommande vivement aux organisations d’identifier les systèmes potentiellement vulnérables et de se préparer à déployer les correctifs de sécurité sans délai. Plus inquiétant, elle conseille à ceux qui ne pourraient pas appliquer les correctifs nécessaires d’envisager d’isoler temporairement les sites et applications affectés des réseaux publics jusqu’à ce qu’ils puissent être sécurisés.

Pendant ce temps, la menace pourrait déjà se concrétiser. Le directeur technique de Cloudflare, Dane Knecht, a confirmé que la société observait les premières attaques et déployait des protections mises à jour de son pare-feu d’applications web (WAF) pour contrer les nouvelles méthodes.

Cependant, Knecht souligne que ces mesures d’atténuation sont temporaires et ne peuvent remplacer les mises à jour de sécurité PHP à venir. La firme de cybersécurité Patchstack a également signalé avoir reçu des témoignages d’exploitation active de la part de plusieurs partenaires d’hébergement.

Pour les administrateurs WordPress, la société de sécurité Wordfence a mis en lumière une distinction importante : une mise à jour automatique de WordPress elle-même ne corrigera pas nécessairement les vulnérabilités de l’installation PHP sous-jacente. Les propriétaires de sites doivent s’assurer que leurs hébergeurs ou administrateurs serveur déploient les mises à jour PHP appropriées.

L’équipe de sécurité de PHP a exhorté les utilisateurs à mettre à niveau immédiatement dès que les correctifs seront disponibles. Les failles affectant apparemment plusieurs générations de PHP, les organisations utilisant d’anciennes versions non supportées pourraient rencontrer des difficultés supplémentaires, surtout si leurs installations ne sont plus éligibles aux correctifs officiels.

Pour l’instant, la priorité est claire : identifier les installations PHP vulnérables, appliquer les correctifs de sécurité d’urgence au plus vite, et isoler les systèmes exposés lorsque la mise à jour immédiate n’est pas possible.

Source : Reuters