Des sites de police et d’administration débranchés, des entreprises qui suspendent leurs services. En cause : deux failles critiques de PHP, une technologie utilisée pour faire fonctionner les sites web, qui déclenchent une alerte mondiale. Elles peuvent permettre à des pirates de prendre le contrôle de serveurs et d’accéder aux données. Les correctifs sont disponibles depuis l’après-midi du 21 octobre. Au Maroc, les sites utilisant une version vulnérable de PHP sont également exposés. Pour leurs responsables, l’urgence est de faire appliquer les correctifs et d’envisager une interruption des services qui ne peuvent pas être sécurisés immédiatement.
Des services coupés pour protéger les systèmes
La NSA américaine pose une alternative claire : appliquer les corrections au plus vite ou envisager de mettre les systèmes hors ligne jusqu’à leur sécurisation. L’agence avertit que ces failles peuvent ouvrir un accès aux fichiers et aux bases de données. En France, l’ANSSI a également lancé l’alerte et signalé la publication des mises à jour.
Le ministère de l’Intérieur a placé plusieurs de ses sites en maintenance préventive à la demande de l’ANSSI, rendant temporairement inaccessibles les sites des préfectures. Cette décision intervient après l’annonce d’une vulnérabilité critique dans un composant logiciel utilisé à travers le monde. L’interruption touche l’accès à des informations essentielles : arrêtés préfectoraux, messages d’alerte et consignes à la population. Le ministère invite les citoyens à consulter les réseaux sociaux de leur préfecture ou les publications par voie d’affichage pendant la coupure. Ses équipes sont mobilisées pour installer les mises à jour dans les meilleurs délais.
Plusieurs organismes ont choisi l’interruption préventive. Selon Reuters, les sites des préfectures françaises ont été suspendus, comme plusieurs sites administrés par ITZBund, le prestataire informatique fédéral allemand. En Finlande, Valtori a interrompu des services web gouvernementaux.
Aux Pays-Bas, le port de Rotterdam, la fédération de football KNVB, le portail public Overheid.nl et la page d’accueil de la Chambre des représentants, la Tweede Kamer, ont été mis hors ligne à titre préventif après la découverte des vulnérabilités de PHP. Un porte-parole du gouvernement néerlandais a expliqué que ces vulnérabilités pouvaient permettre à des acteurs malveillants de prendre le contrôle d’un serveur à distance.
Au Canada, le Centre canadien pour la cybersécurité appelle les utilisateurs et les administrateurs à appliquer les mises à jour nécessaires, dans une annonce regroupant plusieurs avis de sécurité concernant PHP, Google Chrome, SolarWinds, Siemens, Gitea et Craft CMS. Lorsqu’une correction immédiate est impossible, l’organisme recommande d’envisager leur isolement du réseau public. Il invite également les équipes informatiques à examiner les relevés d’activité des serveurs et à rechercher les fichiers, comptes ou connexions inhabituels pouvant révéler une intrusion.
Wikimedia a arrêté des services Cloud et des outils de développement : leur gestion par de nombreux bénévoles empêchait de garantir rapidement la correction de chaque installation. L’éditeur suisse Bexio a suspendu sa plateforme de gestion. GrapheneOS a fermé temporairement son forum, son seul service utilisant PHP.
Les sites et services mis hors ligne
Police, administrations, entreprises, santé, éducation : les interruptions annoncées face aux vulnérabilités de PHP.
France
Sites des préfectures placés en maintenance préventive.
Belgique
Sites web temporairement retirés du réseau ; le numéro d’urgence 101 reste accessible.
Ministère des Affaires étrangères
Sites internet temporairement mis hors ligne.
Pays-Bas
Centre national de cybersécurité — NCSC
Son propre site NCSC.nl retiré d’Internet par précaution.
Chambre des représentants — Tweede Kamer
Page d’accueil du site parlementaire mise hors ligne.
Overheid.nl, MijnOverheid.nl et DigiD
Sites cités dans l’avis du gouvernement sur les coupures préventives.
Site public mis hors ligne.
Site internet suspendu.
Cinq principaux partis politiques
Sites web mis hors ligne, selon Reuters.
Sites internet temporairement indisponibles.
Allemagne
Finlande
Services web publics du gouvernement interrompus par précaution.
République tchèque
Site gouvernemental suspendu pour installer les correctifs.
Royaume-Uni
Office for Budget Responsibility — OBR
Organisme indépendant de prévision budgétaireSite mis hors ligne en application des recommandations du NCSC britannique.
Danemark
Plateforme nationale de communication scolaire et plusieurs autres services interrompus.
Suisse
International
Services Cloud et outils de soutien ou de développement. La suspension ne correspond pas à une fermeture générale de Wikipédia.
Brève interruption pour traiter le problème PHP, selon Reuters.
Forum de discussion temporairement fermé, seul service du projet utilisant PHP.
Le point commun entre ces organisations se trouve derrière les pages affichées à l’écran. PHP travaille sur le serveur : il peut traiter un formulaire, récupérer des informations ou préparer le contenu envoyé à l’internaute. Un défaut dans ce composant touche donc des services très différents, indépendamment de leur secteur d’activité.
Les deux vulnérabilités, regroupées sous le nom PHP2Shell, concernent la mémoire, l’espace de travail temporaire du logiciel. Lorsqu’un traitement échoue, PHP peut mal nettoyer cet espace ou conserver des références à des données devenues invalides. Un attaquant peut exploiter ces erreurs pour faire exécuter ses propres instructions. L’équipe PHP indique que, dans certaines configurations, l’attaque peut se déclencher avant même l’exécution du logiciel du site.
Cloudflare rapporte déjà des tentatives d’exploitation et des modifications du trafic malveillant destinées à contourner ses protections. La publication des correctifs s’accompagne ainsi d’une course pour les installer sur les serveurs encore exposés.
Ce que dit le CERT-EU
Bulletin 2026-018 · 21 octobre 2026 · Synthèse
Le risque : un pirate peut faire exécuter ses instructions au serveur. Toutes les installations PHP traitant des requêtes web doivent être vérifiées, y compris celles intégrées à d’autres logiciels.
| Branche PHP | Version corrigée |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Les protections temporaires réduisent certains risques. Seule la mise à jour corrige complètement ces vulnérabilités.
Versions anciennes : demander au fournisseur un correctif adapté ou migrer vers une version maintenue.
Consulter l’alerte complète du CERT-EU
L’IA accélère la découverte des failles et la course aux correctifs
La découverte illustre les nouvelles capacités de l’intelligence artificielle en cybersécurité. Selon OpenAI, les chercheurs de Calif ont identifié une faille critique avec GPT-5.6 Sol, dans le cadre du programme Patch the Planet. Wiz a conduit des travaux indépendants. Les équipes PHP ont ensuite piloté les corrections, avec l’appui d’une coalition de chercheurs et de fournisseurs.
Calif décrit une recherche guidée par la connaissance du logiciel : les spécialistes ont orienté les modèles, examiné leurs résultats et démontré des prises de contrôle sur des installations de logiciels courants. L’IA accélère l’examen du code ; les chercheurs établissent comment un défaut peut devenir une attaque.
Le message du responsable de la cybersécurité d’OpenAI
Publication LinkedIn · Traduction française
« Au cours des deux derniers mois, nous avons dirigé une coalition pour atténuer les risques liés à PHP2Shell, l’un des problèmes de sécurité les plus graves ayant touché les logiciels libres ces dernières années.
Calif a découvert une faille critique en utilisant GPT-5.6 Sol dans le cadre de notre initiative Patch the Planet. Les responsables du développement de PHP ont piloté les corrections, avec l’appui d’OpenAI, de Wiz, de Cloudflare et d’autres partenaires. J’ai vu l’immense travail accompli en interne par l’équipe sur ce dossier ; l’engagement de toutes les personnes impliquées m’a beaucoup inspiré et je leur en suis profondément reconnaissant.
Pour les organisations qui utilisent PHP, la priorité est maintenant d’appliquer les correctifs. Si vous vous demandez si votre site est concerné, nous avons préparé une compétence pour Codex afin de vous aider à le vérifier.
Nous devons nous attendre à beaucoup d’autres découvertes comme celle qui a été rendue publique aujourd’hui. Les modèles sont de plus en plus performants pour repérer des défauts présents depuis des années. Les modèles d’IA les plus avancés ont découvert ces vulnérabilités avant les attaquants, ouvrant une « fenêtre de défense » : un délai permettant aux responsables des logiciels et aux fournisseurs de sécurité de préparer des correctifs et des protections avant leur divulgation.
Nous renforçons nos efforts dans le cadre de Patch the Planet pour donner aux responsables de logiciels libres accès aux modèles, leur apporter un soutien technique et les aider à déployer les correctifs. Dans notre publication d’aujourd’hui, nous partageons les enseignements de la réponse apportée aux failles de PHP et proposons une méthode pour traiter davantage de cas de ce type. »
Lire également la communication officielle d’OpenAI du 21 octobre
La PHP Foundation reconnaît aussi un retard. Les premiers signes du problème à l’origine de l’une des failles avaient été repérés en 2024, dans le prolongement d’un audit de Quarkslab. Des difficultés de compatibilité, de ressources et de décision ont freiné sa résolution. Le traitement est devenu prioritaire en août 2026 ; la publication des corrections a été avancée du 22 au 21 octobre après la circulation d’informations sur les vulnérabilités.
Dans sa déclaration, le responsable de la cybersécurité d’OpenAI décrit une « fenêtre de défense » : découvrir une faille avant les attaquants donne aux développeurs le temps de préparer sa correction. Cette avance dépend ensuite de la vitesse de déploiement. OpenAI souligne que les progrès des modèles peuvent également accélérer la préparation des attaques.
Comment vous protéger ?
Les cinq demandes à adresser à votre équipe
- Recenser les installations
Nommer un responsable. Identifier tous les services utilisant PHP, même lorsque ce composant est inclus dans un autre logiciel.
- Faire appliquer les correctifs
Prioriser les serveurs accessibles sur Internet. Confirmer avec l’hébergeur qui réalise la mise à jour et dans quel délai.
- Vérifier le résultat
Obtenir la version réellement utilisée ou la référence du correctif équivalent fourni par le prestataire, pour chaque environnement.
- Isoler ce qui reste exposé
Si la correction immédiate est impossible, faire évaluer une suspension temporaire de l’accès public et prévoir un canal de contact de remplacement.
- Rechercher les traces suspectes
Faire examiner les journaux d’activité. Si une intrusion est soupçonnée, mobiliser l’équipe de réponse aux incidents.
« Quels services utilisent PHP chez nous ? Les correctifs des deux failles PHP2Shell sont-ils actifs sur chacun d’eux ? Merci de confirmer les versions ou correctifs appliqués, les services encore exposés et l’échéance de leur sécurisation. »
La première demande est un inventaire précis. Quels sites, portails clients et applications utilisent PHP ? Qui les administre ? Les consignes du NCSC britannique donnent la priorité aux systèmes accessibles sur Internet et incluent les logiciels dans lesquels PHP est intégré, parfois sans que leurs utilisateurs le sachent.
La deuxième demande porte sur la correction réellement appliquée. WordPress précise qu’aucune mise à jour de WordPress n’est prévue pour régler ces deux vulnérabilités. L’intervention concerne PHP sur le serveur, généralement sous la responsabilité de l’hébergeur. Désactiver le débogage WordPress, qui sert au diagnostic des erreurs, ne corrige pas les failles.
La version de PHP apparaît dans WordPress sous Outils → Santé du site → Informations → Serveur. Il faut demander au prestataire de confirmer que les deux vulnérabilités sont corrigées sur chaque environnement. Wordfence rappelle que certains fournisseurs adaptent les correctifs à des versions anciennes : le numéro affiché doit alors être accompagné de la référence du correctif fourni.
Des protections sont déjà en place chez plusieurs acteurs. Automattic annonce que WordPress.com, WordPress VIP, WP Cloud, Pressable et Tumblr sont protégés. Un site WordPress hébergé ailleurs dépend des mesures prises par son propre prestataire. Les filtres de sécurité peuvent réduire l’exposition pendant l’intervention ; la mise à jour de PHP reste nécessaire.
Si la correction immédiate est impossible, la direction doit faire examiner l’isolement des services concernés et organiser la continuité : page d’information indépendante, téléphone ou autre canal de contact. Le Centre canadien pour la cybersécurité recommande aussi de rechercher les activités suspectes dans les journaux, ces relevés qui enregistrent ce qui se passe sur les serveurs.
La réponse attendue de l’équipe technique doit être concrète : quels systèmes sont corrigés, lesquels restent exposés, qui pilote leur sécurisation et à quelle échéance ?
