Des millions de Freebox exposées aux failles PHP : quel risque pour les abonnés ?
Alors que l'équipe de PHP doit publier ce 21 octobre 2026 un correctif d'urgence pour deux failles critiques, un recensement mondial place la France très loin devant tous les autres pays. La raison : près de 2 millions de Freebox hébergeraient plusieurs instances PHP.
Deux failles de sécurité majeures ont été découvertes dans le langage de programmation PHP, utilisé par des millions de sites web et services en ligne. Ces failles, notées 9,2 sur 10 sur l'échelle de gravité, permettent une exécution de code à distance. Cela signifie qu'un attaquant pourrait, en exploitant ces failles, faire exécuter des programmes malveillants sur un serveur vulnérable sans avoir besoin d'accéder physiquement à la machine. L'équipe de PHP a annoncé un correctif d'urgence pour le 21 octobre 2026 à 16 heures. Les développeurs et administrateurs de serveurs sont encouragés à appliquer ce correctif dès sa publication pour éviter tout risque d'exploitation.
Un recensement mondial réalisé par la société Infrawatch révèle que près de 2 millions de Freebox en France utilisent le langage PHP via leur système d'exploitation, Freebox OS. Ce système permet de gérer le Wi-Fi, les ports réseau, les machines virtuelles ou encore les VPN. Les données indiquent que 1,97 million d'hôtes en France tournent principalement sous Freebox OS, ce qui en fait le service le plus exposé au monde. Au total, 6,37 millions d'instances PHP seraient actives sur le réseau de Free, mais seulement 2 millions de box sont concernées. Cela suggère que chaque Freebox héberge en moyenne trois instances PHP, souvent via un port personnalisé utilisé pour l'accès à distance.
Si une Freebox s'avérait vulnérable aux failles PHP, un pirate pourrait potentiellement en prendre le contrôle. Une box compromise permettrait d'observer le trafic internet de la maison, d'accéder aux appareils connectés ou d'utiliser la Freebox pour des activités malveillantes, comme du phishing (tentative d'extorsion de données via des emails ou SMS frauduleux). Cependant, les données bancaires ne seraient pas directement accessibles, car elles ne sont pas stockées sur la box. Les risques concernent surtout l'espionnage du réseau domestique et l'utilisation de la Freebox comme relais pour des attaques informatiques. Les abonnés peuvent limiter ce risque en désactivant l'accès à distance dans les paramètres de leur Freebox OS.
Free n'a pas encore officiellement réagi à l'annonce des failles PHP. Cependant, l'opérateur dispose d'un avantage en cas de vulnérabilité avérée : Freebox OS se met à jour automatiquement à chaque redémarrage de la box. Free pourrait donc déployer un correctif en forçant des redémarrages à distance de toutes les Freebox, une méthode déjà utilisée en 2014. La publication des détails techniques des failles par l'équipe de PHP à 16 heures permettra de déterminer si Freebox OS est effectivement concerné. Si c'est le cas, Free devra réagir rapidement pour protéger ses abonnés. En attendant, aucune confirmation ne permet d'affirmer que les failles affectent réellement les Freebox.
La France se distingue dans ce recensement avec 6,62 millions de services PHP actifs, dont une grande partie est liée aux Freebox. Cette exposition massive s'explique par l'utilisation intensive de PHP dans Freebox OS, notamment pour des fonctionnalités avancées comme les machines virtuelles ou les VPN. Les autres opérateurs du groupe Iliad, comme Iliad Italia, sont également concernés. Bien que l'inquiétude soit mondiale, il est important de noter qu'aucune preuve ne confirme pour l'instant que les Freebox sont vulnérables. Les prochaines heures seront cruciales pour évaluer l'ampleur réelle du risque et les actions à entreprendre pour sécuriser les utilisateurs.
