Failles confirmées sur PHP : des millions de sites web sont menacés de cyberattaques en attendant le correctif urgent. Ce langage de programmation est utilisé presque partout sur le web
Le langage de programmation PHP, qui est utilisé presque partout sur le web, va corriger deux failles critiques aujourd’hui. Et des attaques seraient déjà en cours, d’après Cloudflare.
PHP est un langage de programmation largement utilisé pour créer des sites web dynamiques. Il fonctionne côté serveur, ce qui signifie qu’il traite les données avant de les envoyer à l’utilisateur. Aujourd’hui, deux failles critiques, nommées CVE-2026-109618 et CVE-2026-109619, ont été confirmées par l’organisation responsable de PHP. Ces failles permettent à des pirates d’exploiter des vulnérabilités dans le code pour accéder à des données sensibles ou perturber le fonctionnement d’un site. Leur gravité est qualifiée de critique car elles pourraient avoir des conséquences majeures sur la sécurité des sites web. Les détails techniques de ces failles ne sont pas encore divulgués pour éviter qu’elles ne soient exploitées avant la mise à jour du correctif.
PHP est omniprésent sur le web : il alimente environ 40 % des sites internet, dont ceux créés avec le moteur WordPress, l’un des plus populaires au monde. Une faille dans PHP expose donc des millions de sites à des cyberattaques. Ces attaques pourraient permettre aux pirates de voler des données personnelles, d’infecter des sites avec des logiciels malveillants ou de les rendre inaccessibles. Le risque est d’autant plus élevé que des attaques ont déjà été détectées par Cloudflare, une entreprise spécialisée dans la sécurité en ligne. Dane Knecht, son directeur technique, a confirmé sur le réseau social X (anciennement Twitter) que des tentatives d’exploitation étaient en cours et que des mesures temporaires étaient mises en place pour protéger les utilisateurs.
Pour limiter les risques, les développeurs de PHP préparent un correctif qui sera publié aujourd’hui, le 21 octobre 2026. Ce correctif vise à combler les failles et à renforcer la sécurité du langage. Cependant, son application doit être immédiate pour être efficace. Le CERT-EU, le service de cybersécurité de l’Union européenne, recommande aux organisations de mettre à jour leurs systèmes dès que possible. Si une mise à jour immédiate n’est pas possible, il est conseillé d’isoler temporairement les sites web concernés d’Internet pour éviter qu’ils ne deviennent des cibles faciles pour les pirates. Cette solution de contournement est une mesure de précaution en attendant le correctif définitif.
Face à cette situation, plusieurs acteurs clés ont réagi. Cloudflare, une entreprise spécialisée dans la protection des sites web, a déjà observé des attaques et propose des solutions temporaires à ses clients. Le CERT-EU, quant à lui, a émis un avis officiel pour alerter les organisations sur la nécessité d’agir rapidement. Il souligne que l’isolement des sites non mis à jour est une mesure nécessaire pour éviter des dommages plus importants. Les développeurs et les administrateurs de sites sont donc invités à se préparer à appliquer le correctif dès qu’il sera disponible, et à suivre les recommandations des experts en cybersécurité pour protéger leurs infrastructures.
