Failles PHP : pourquoi des sites gouvernementaux restent coupés

« Ce site est en maintenance. Merci de bien vouloir nous excuser pour la gêne occasionnée. » Ce message s'affiche depuis mercredi 21 octobre sur de nombreux sites Internet français et étrangers. En cause : deux failles PHP majeures, surnommées PHP2Shell, découvertes dans ce langage de programmation utilisé par une grande partie du Web depuis trente ans.

Le site de la Caisse d'allocations familiales et celui des impôts figurent parmi les plateformes perturbées, encore jeudi selon Le Monde. Les sites de l'ensemble des préfectures françaises et du ministère de l'Intérieur ont également été coupés par précaution, rapporte Le Figaro. Le phénomène n'est pas franco-français : des sites gouvernementaux en Europe et aux États-Unis ont subi le même sort.

Deux failles notées 9,2 sur 10

Les vulnérabilités sont référencées CVE-2026-109618 et CVE-2026-109619. Elles ont été classées 9,2 sur 10 sur l'échelle de gravité CVSS, selon la fondation PHP citée par Le Monde. Elles touchent des fonctions sollicitées par presque chaque requête web : la gestion de la mémoire et le traitement des erreurs.

La première faille exploite une saturation de la mémoire du serveur au moment où celui-ci traite une requête, le forçant à continuer avec des données invalides. La seconde tient à un défaut de nettoyage des données après chaque requête, qui laisse des informations accessibles pour la requête suivante, détaille L'Internaute. Résultat : un attaquant peut exécuter du code à distance sur un serveur sans s'authentifier.

« Si vous utilisez PHP, il est impératif de le mettre à jour dès maintenant », PHP Foundation.

Le centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques a mis en garde contre l'ampleur du risque. Selon lui, cité par Le Figaro, le langage « présente des vulnérabilités susceptibles d'offrir un accès direct au système de fichiers ou à la base de données des serveurs ».

Des centaines de millions de sites concernés

PHP, lancé en 1995 et financé par la PHP Foundation, fait tourner des systèmes de gestion de contenu majeurs comme WordPress ou Drupal. Son ampleur rend la faille particulièrement sensible.

Un attaquant ayant pris le contrôle d'un serveur peut lire sa mémoire, où se trouvent potentiellement des mots de passe, des clés d'accès et des données personnelles ou bancaires d'utilisateurs connectés au même moment, précise L'Internaute. Pour les particuliers, le risque immédiat le plus concret reste le phishing, via de faux messages invitant à se reconnecter à un service administratif.

Des correctifs disponibles, mais une exposition durable

Des versions corrigées de PHP, les 8.2.35, 8.3.36, 8.4.27 et 8.5.12, sont disponibles depuis mercredi 16 heures. Mais les versions non maintenues, de la 5.x à la 8.1.x, encore utilisées par une part significative de sites, restent exposées. La PHP Foundation a tout de même publié des correctifs minimaux pour les versions 7.4, 8.0 et 8.1, à l'intention des organisations qui compilent le langage elles-mêmes, selon L'Internaute.

« L'impact potentiel est considérable : si elle est exploitée avec succès, cette vulnérabilité pourrait permettre l'exécution de code à distance, l'une des formes de compromission informatique les plus graves », Sergey Lozhkin, responsable du centre de recherche pour les régions APAC et META chez Kaspersky GReAT.

À ce stade, aucune intrusion ni fuite de données liée à ces failles n'est confirmée, selon L'Internaute. Mais 01net affirme que des cyberattaques exploitant les vulnérabilités ont déjà commencé. La RTS souligne de son côté qu'il est encore trop tôt pour chiffrer les conséquences financières d'une exploitation à grande échelle, entre interruptions d'activité et coûts de sécurisation des systèmes.

Les deux failles ont été détectées en août grâce à l'intelligence artificielle, mais leur existence a fuité avant que le correctif ne soit prêt, précipitant la mise hors ligne de nombreux sites par précaution dès mardi 20 octobre.