Après la découverte d’une faille dans PHP, une attaque massive pourrait se produire sur le web aujourd’hui

Deux failles de sécurité critiques, notées chacune 9,2 sur 10 selon l'échelle CVSS (Common Vulnerability Scoring System), ont été découvertes dans le langage de programmation PHP. Cette échelle permet d'évaluer la gravité des vulnérabilités : à partir de 9, on considère qu'il s'agit d'un risque critique. Ces failles, identifiées par les numéros CVE-2026-109618 et CVE-2026-109619, permettent une exécution de code à distance. Cela signifie qu'un pirate pourrait, en exploitant ces failles, faire exécuter des commandes arbitraires sur un serveur web vulnérable, comme s'il y avait un accès direct. Ces vulnérabilités touchent toutes les versions de PHP depuis la version 5, sortie en juillet 2004, jusqu'aux versions les plus récentes, y compris PHP 8.5 et PHP 8.6.

PHP est utilisé par 69,3 % des sites web dont la technologie côté serveur est connue, selon les données de W3Techs. Parmi ces sites, WordPress est particulièrement exposé, car il repose sur PHP pour fonctionner. De plus, 27 % des sites en PHP utilisent encore la version 7, sortie en 2015, et 7,7 % tournent sur PHP 5, une version obsolète depuis plusieurs années. Ces anciennes versions restent largement répandues, ce qui augmente considérablement la surface d'attaque. Une exploitation réussie de ces failles pourrait permettre aux pirates de prendre le contrôle de serveurs web, de voler des données ou de propager des logiciels malveillants. Les failles concernent aussi bien les sites personnels que les infrastructures critiques, comme celles des fournisseurs d'accès internet.

Les mainteneurs de PHP ont annoncé la publication de correctifs pour ces deux failles ce mercredi 21 octobre à 16 h (heure de Paris). Ces mises à jour sont considérées comme une priorité absolue, car elles corrigent des vulnérabilités permettant une exécution de code à distance. L'équipe de PHP invite tous les utilisateurs à se préparer dès maintenant pour appliquer ces correctifs dès leur sortie. Si un site web ou une application utilise PHP, il est crucial de vérifier sa version et de procéder à la mise à jour sans délai. En cas de retard, le risque d'une attaque massive augmente, d'autant plus que des informations sur ces failles ont déjà fuité sur Hacker News, un forum dédié à l'innovation technologique, ce qui pourrait inciter des pirates à les exploiter plus rapidement.

L'alerte a été lancée par PHP.net, le site officiel du langage PHP, qui coordonne les mises à jour et la maintenance du langage. La société de sécurité watchTowr a joué un rôle clé dans la détection et l'analyse de ces failles. Son PDG, Benjamin Harris, a confirmé leur gravité en attribuant une note maximale de 10/10 à l'une d'elles, bien que l'équipe de PHP les ait notées 9,2/10. watchTowr affirme avoir déjà reproduit l'une des failles en laboratoire, mais n'a observé aucune exploitation malveillante à ce jour. Malgré cela, la fuite d'informations sur Hacker News a accéléré le calendrier de publication des correctifs, initialement prévu pour le 22 octobre, afin de limiter les risques d'attaques avant que les détails ne deviennent publics.