if ( !emtpy($headline_subheadline ) ) : ?>
Les vulnérabilités, classées CVSS 9.2 en termes de gravité, affectent les fonctionnalités principales de PHP et pourraient permettre l’exécution de code à distance ; une application immédiate des correctifs est « impérative ».
endif; ?>
Les organisations se démènent pour se protéger suite à la révélation de deux vulnérabilités critiques dans le code couramment utilisé qui alimente une grande partie d’Internet. Les failles découvertes dans le langage de script PHP pourraient permettre à des attaquants d’effectuer une exécution de code à distance (RCE) non authentifié.
Mercredi matin, la Fondation PHP a publié des correctifs pour les versions concernées et a déclaré qu’il était « impératif » que les organisations exécutant immédiatement le correctif PHP. Il indique que toutes les installations PHP servant des requêtes Web sont menacées, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Il considère que le risque le plus élevé est pour mod_php, où une requête non authentifiée peut déclencher une exploitation avant l’exécution du code de l’application.
En réponse à ces révélations, certains sites Web gouvernementaux en Europe, notamment ceux des Pays-Bas et de Finlande, ainsi que ceux d’autres organisations dans le monde, ont été mis hors ligne par mesure de précaution.
PHP est « le Web lui-même »
PHP est un langage de script côté serveur open source largement utilisé qui sous-tend des sites Web comme WordPress, qui alimente 43 % du Web, ainsi que Mailchimp, Drupal, Magento, Laravel et certaines parties de Slack et Zoom, et bien d’autres.
L’impact ne se limite pas aux sites Web, a noté le Centre national de cybersécurité des Pays-Bas (NCSC-NL) dans sa description des failles, collectivement baptisées PHP2Shell. PHP est également intégré aux appareils, aux périphériques réseau, aux interfaces de gestion et à d’autres produits de fournisseurs sur lesquels les administrateurs peuvent ne pas être en mesure de mettre à jour PHP directement. Et le CERT-EU, une organisation qui suit les menaces de cybersécurité dans l’Union européenne, a également averti que de nombreux produits commerciaux et open source utilisent PHP comme technologie backend, et que ceux-ci pourraient également être affectés par les failles, même s’ils n’exposent pas directement une installation PHP.
Cela rend les vulnérabilités encore plus graves. CVE-2026-109618, qui a un indice de gravité de 9,2 sur le système commun de vulnérabilité et de notation (CVSS), pourrait permettre le RCE via la corruption de la mémoire lors de la gestion des manques de mémoire (MOO), une stratégie que les systèmes d’exploitation (OS) et les applications utilisent lorsque la RAM physique et les espaces d’échange sont épuisés.
CVE-2026-109619, également avec un score de 9,2, exécution de code à distance via un état global appartenant à une requête obsolète et réutilisé par une requête ultérieure sur le même travailleur.
Les deux failles se trouvent dans des parties de PHP que presque toutes les requêtes touchent : la gestion de la mémoire et la gestion des erreurs, a noté la Fondation PHP. Cela rend les deux bogues extrêmement graves et également difficiles à corriger sans affecter la compatibilité ou les performances. Les organisations doivent partir du principe qu’elles sont exposées.
« Ce qui rend ces vulnérabilités significatives, c’est l’endroit où elles se situent », a déclaré Madelein van der Hout, analyste senior chez Forrester. PHP sous-tend 70 % des sites Web, ce qui représente un énorme risque de concentration.
« Il ne suffit pas de consulter le site Web de l’entreprise », a-t-elle déclaré. « Les organisations doivent déterminer où elles sont exposées et donner la priorité aux systèmes accessibles sur Internet. »
Les organisations concernées doivent mettre à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Les fournisseurs de Linux et de support à long terme (LTS) ont reçu les correctifs à l’avance, a déclaré la Fondation, les organisations doivent donc vérifier auprès de leurs fournisseurs les correctifs.
PHP 8.1 et les autres versions en fin de vie ne reçoivent plus de mises à jour du projet PHP, bien que certains distributeurs et fournisseurs LTS fournissent des correctifs rétroportés. Les organisations qui exécutent toujours des versions non prises en charge doivent également vérifier auprès de leur fournisseur.
Ceux qui comptent sur rpms.remirepo.net, géré par des bénévoles, devraient changer de paquet de distribution ou créer à partir des sources pour appliquer immédiatement les mises à jour, a conseillé la Fondation PHP.
Ceux qui ne peuvent pas appliquer immédiatement le correctif doivent prendre les mesures préventives décrites pour réduire l’exposition, a déclaré le CERT-EU, avertissant que ces mesures d’atténuation ne garantissent pas la sécurité d’une installation.
« Voici à quoi ressemble une vulnérabilité à l’échelle d’Internet », a déclaré Neatsun Ziv, PDG de la société de sécurité des applications d’exécution OX Security. « Lorsqu’une faille touche une technologie aussi omniprésente, le rayon d’explosion ne concerne pas un produit ou une industrie. C’est le Web lui-même. »
Les chercheurs de son entreprise ont reproduit les failles de manière indépendante et ont découvert que la fonctionnalité vulnérable est activée par défaut et existe en PHP depuis la version 5.4.
Pourtant, les experts soulignent que l’application de correctifs n’est qu’un élément de réponse. La vitesse est importante, a noté van der Hout de Forrester, et les équipes de sécurité doivent identifier partout où PHP est exécuté, hiérarchiser les systèmes exposés, appliquer rapidement les correctifs officiels et rechercher des signes de compromission.
« Un correctif corrige la vulnérabilité ; il ne supprime pas nécessairement l’accès qu’un attaquant aurait déjà pu établir », a-t-elle déclaré.
Hors ligne ne veut pas dire piraté
Avec des rumeurs d’exploits déjà disponibles sur le dark web, supprimer des services pour les protéger puis les corriger est un choix pragmatique, disent les experts.
Van der Hout de Forrester a souligné que mettre un site Web hors ligne ne signifie pas qu’il a été piraté. Si une organisation ne peut pas encore appliquer de correctif ou protéger adéquatement un système potentiellement vulnérable, le mettre temporairement hors ligne peut constituer une « décision à risque proportionné ». Autrement dit, les organisations acceptent une courte perte de disponibilité plutôt que de risquer une potentielle compromission sérieuse.
En fin de compte, il s’agit d’un test de résilience opérationnelle, plutôt que d’une simple gestion des correctifs, a déclaré van der Hout. Les organisations doivent décider si elles peuvent maintenir les services en fonctionnement et qui a le pouvoir de les mettre hors ligne si nécessaire.
« Un arrêt temporaire peut être la bonne décision, mais cela montre à quel point une vulnérabilité logicielle peut devenir une perturbation de l’activité même sans violation confirmée », a-t-elle déclaré.
Le rôle de l’IA dans la défense, ainsi que dans le piratage
OpenAI a publié un blog détaillant son rôle dans la réponse PHP, expliquant que l’organisation Red Teaming Calif a identifié une faille critique en utilisant GPT‑5.6 Sol dans le cadre de l’initiative Patch the Planet d’OpenAI. Wiz a également découvert et signalé les deux vulnérabilités de manière indépendante, et les partenaires d’OpenAI ont contribué à la recherche, au support technique et à la coordination avant la divulgation de PHP.
OpenAI partage un vérificateur de version PHP en tant que compétence Codex pour aider les organisations à identifier les versions PHP vulnérables et à appliquer les mises à jour appropriées.
« Compte tenu de la gravité de ces failles et de l’utilisation généralisée de PHP, nous considérons qu’il s’agit de l’un des problèmes de sécurité les plus importants de mémoire récente », a déclaré OpenAI.
L’entreprise a également indiqué qu’il s’agissait d’un tournant dans le rôle de l’IA en matière de sécurité ; Frontier AI a découvert les vulnérabilités avant les attaquants, donnant aux responsables une longueur d’avance, une « fenêtre de défense ».
« Cela montre comment l’IA peut découvrir des failles de sécurité ayant un impact à l’échelle d’Internet, mais les mêmes capacités peuvent également aider les attaquants à développer rapidement des outils et des exploits offensifs », a noté OpenAI.
Matt Saunders, responsable DevOps chez le fournisseur mondial de technologie The Adaptavist Group, a souligné ce dernier point : « Dès que la vulnérabilité sera annoncée, des légions de robots IA rechercheront des systèmes à exploiter », a-t-il déclaré, soulignant que ces robots peuvent enchaîner plusieurs attaques moins vulnérables combinées à ces nouvelles attaques critiques pour pirater les organisations.
Cela signifie, a-t-il déclaré, « que le rayon d’explosion d’une brèche est potentiellement beaucoup plus large désormais, avec des attaques optimisées par l’IA disponibles pour ceux qui choisissent de les utiliser ».
