Le 21 octobre 2026, des administrations de toute l’Europe ont débranché leurs sites internet en urgence, préfectures françaises comprises. En cause : PHP2Shell, deux failles critiques découvertes au cœur de PHP, le langage qui fait tourner environ 70 % des sites web, dont WordPress, Joomla et Drupal.
Ce qui s’est passé
Les deux failles (CVE-2026-109618 et CVE-2026-109619) permettent à un attaquant de prendre le contrôle d’un serveur web à distance, sans mot de passe ni action de la victime. Elles étaient présentes dans PHP depuis 2012, et ont été mises au jour avec l’aide de l’intelligence artificielle.
L’équipe de PHP a publié des correctifs en urgence (versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35). Le CERT-FR a émis une alerte, et des tentatives d’attaque ont été observées avant même la sortie des correctifs.
Ce qu’il faut en retenir
- Mettre à jour son site ne suffisait pas. La faille est dans le moteur PHP lui-même : un WordPress parfaitement à jour restait vulnérable tant que PHP ne l’était pas.
- Les anciennes versions restent exposées. PHP 8.1 et les versions antérieures ne reçoivent pas de correctif officiel : un site ou une application qui tourne encore dessus doit migrer.
- PHP se cache partout. Site vitrine, extranet, logiciel métier en ligne, interface d’administration d’un équipement, panneau d’hébergement : la première difficulté était de savoir où il tournait.
- Le délai entre l’annonce d’une faille et les premières attaques se compte désormais en heures. Avec l’intelligence artificielle, les attaquants vont aussi vite que les chercheurs.
- Aucun système n’est inviolable. Cette faille dormait dans PHP depuis 2012, sous les yeux de tous. Ce qui fait la différence, ce n’est pas de prétendre être imprenable, c’est de savoir réagir vite : mises à jour appliquées sans attendre, et sauvegardes prêtes si le pire arrive.
Le pare-feu, filet de sécurité en attendant le correctif
Un pare-feu doté d’un système de prévention d’intrusion peut bloquer les tentatives d’attaque connues pendant que les mises à jour se déploient. Fortinet a publié des signatures dédiées à PHP2Shell pour ses FortiGate, et le jeu de règles Emerging Threats utilisé par Suricata, que nous installons sur pfSense, couvre lui aussi ces attaques. C’est un filet de sécurité, pas un remplacement : seule la mise à jour de PHP corrige la faille.
Les pare-feu eux-mêmes n’étaient pas tous épargnés : l’interface d’administration de pfSense fonctionne en PHP, et Netgate a publié une mise à jour à appliquer en console. Une raison de plus pour ne jamais exposer l’administration d’un pare-feu sur internet, et pour suivre ses mises à jour comme celles du reste du parc.
Et chez vous ?
Si votre site est chez un hébergeur, demandez-lui confirmation que PHP a bien été mis à jour. Si vous avez un serveur ou une application en PHP à vous, vérifiez sa version, et cherchez les traces d’une intrusion passée inaperçue : fichiers inattendus, comptes inconnus, connexions sortantes suspectes.
C’est exactement pour ces moments-là qu’un parc tenu à jour en permanence et un inventaire précis de ce qui tourne où font la différence. Voir Pourquoi un parc informatique à jour tombe moins en panne et notre approche de la maintenance informatique. Un doute sur votre installation ? Appelez-nous au 09 80 90 49 67.
Sources : alerte du CERT-FR (CERTFR-2026-ALE-014), annonces du projet PHP.