Brève - Les 21 et 22 octobre 2026, les développeurs de PHPet les autorités de sécurité ont publié des alertes d’urgence et des correctifs pour deux vulnérabilités jugées critiques dans l’environnement d’exécution PHP, répertoriées sous les identifiants CVE‑2026‑109618 et CVE‑2026‑109619. L’ Office fédéral pour la sécurité des technologies de l’information a expressément demandé aux exploitants d’applications accessibles sur Internet d’installer les versions mises à jour ou, si nécessaire, de déconnecter les services concernés.
De nombreuses communes, universités, cliniques et sociétés d’hébergement ont réagi en mettant d’abord leurs services hors ligne, avant de rétablir progressivement leur accessibilité une fois les mises à jour installées avec succès. Selon les analyses techniques, les vulnérabilités, également désignées dans certains rapports sous le nom de «PHP2Shell», permettent, dans certaines configurations standard, d’exécuter du code à distance sans authentification préalable. Des sociétés de sécurité et des listes de diffusion ont rapidement signalé la disponibilité d’outils d’exploitation, ce qui a maintenu l’urgence d’appliquer les correctifs rapidement.
Les exploitants devraient considérer comme potentiellement compromis les systèmes qui n’ont pas été mis à jour avant la publication des correctifs et les soumettre à une analyse forensique. Les centres informatiques régionaux et les grands hébergeurs indiquent ne rétablir les services qu’après des contrôles supplémentaires et avec des fonctionnalités limitées. Parallèlement, les organismes nationaux et européens recommandent de mettre durablement à jour les composants concernés et, si nécessaire, de renforcer temporairement les pare-feu applicatifs et les règles de sécurité jusqu’à ce que tous les systèmes aient été vérifiés.
Les déclarations de l’Office fédéral de la sécurité des technologies de l’information, de la PHP Foundation et de l’Agence de l’Union européenne pour la cybersécurité au sujet des correctifs figurent dans des avis officiels ; au moment de la vérification, la rédaction n’a pas pu confirmer l’existence de vols de données à grande échelle. Pour les exploitants, la conduite à tenir reste néanmoins la même : agir à court terme, vérifier à long terme.
Rédactrice : Mira Cadena (Article avec le soutien de l'IA).