L’alerte avait été donnée dans la journée du 20 octobre 2026. L’équipe derrière PHP, l’un des langages web les plus répandus sur le net, a identifié deux failles de sécurité critiques, notées 9,2/10 sur l’échelle de dangerosité des vulnérabilités. Mais fort heureusement, des correctifs étaient promis pour le mercredi 21 octobre en milieu d’après-midi.
Ces patchs viennent d’être publiés, en urgence, ce qui a donné lieu à quatre nouvelles versions de son langage : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Il est capital de mettre à jour, dès que possible, sa version de PHP. Il faut en effet avoir conscience que PHP est derrière plus de 70 % des sites dont on connaît le langage côté serveur, à commencer par tous les sites WordPress.
D’après l’avis de sécurité publié par PHP, toutes les installations qui servent des pages web sont exposées, y compris avec PHP-FPM ou FrankenPHP. Le risque est maximal avec mod_php, le module qui intègre PHP directement au serveur Apache. Dans ce cas, une requête anonyme suffit à déclencher l’attaque avant même que le code du site s’exécute.
PHP donne bien quelques réglages de secours, mais prévient qu’ils ne rendent pas un serveur sûr. Surtout, PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour officielles. Pour les versions 7.4, 8.0 et 8.1, l’équipe a seulement mis en ligne des correctifs minimaux, qu’il faut compiler soi-même.
Attention si votre site tourne sous WordPress : d’après Reuters, la société de sécurité Wordfence a prévenu que les mises à jour automatiques du CMS (le logiciel qui gère le site) n’installeront pas ce correctif, puisqu’il concerne le serveur. Demandez à votre hébergeur quelle version de PHP fait tourner votre site et quand elle sera mise à jour.
Une pagaille en ligne, et une crainte de voir émerger des attaques
Au Japon, la première ministre a même pris la parole sur X pour alerter la population. En France aussi, les effets de cet incident se font ressentir, avec des sites ponctuellement indisponibles, le temps de faire la mise à jour. C’est le cas, par exemple, de Météo-France.
De nombreux sites de préfectures sont également indisponibles.
Toujours selon Reuters, la situation est préoccupante : des signalements d’attaques ont poussé les Pays-Bas et la Finlande à couper des sites publics par précaution. Le site de l’agence néerlandaise de cybersécurité en fait partie. Des spécialistes en cybersécurité ont relevé du code d’exploitation qui circule désormais publiquement.
Des agences de cybersécurité en Europe, au Royaume-Uni, en Australie et au Japon ont appelé à mettre à jour immédiatement, ou à couper les sites concernés en attendant. Idem en France.
L’ampleur réelle des attaques reste floue. Dane Knecht, directeur technique de Cloudflare, a dit voir « de premières attaques » et a renforcé les protections de l’entreprise en solution d’attente. L’agence australienne ACSC indiquait de son côté ne pas avoir connaissance d’une exploitation active.
Il est à noter que celles et ceux encore sur PHP 8.2 n’ont de toute façon plus beaucoup de temps : cette version ne recevra plus aucun correctif de sécurité après le 31 décembre 2026.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Anticipez le futur en vous inscrivant gratuitement à ToujoursPlus, la newsletter tech de référence.