Le web est hors service . Nous sommes dans le même bateau .
Ce mercredi 21 octobre 2026, une partie du web a été mise hors service suite à la découverte de deux failles critiques dans le langage de programmation PHP . Préfectures, administrations fiscales , Météo-France, CNIL, Santé publique France, collectivités locales, médias, SAQ au Québec : des pages de maintenance ont inondé la toile . Sur Downdetector, le pic des signalements concernant les sites publics français a été atteint peu après 15 h.
La raison de cette crise ? PHP2Shell.
En résumé , deux failles « critiques » notées 9,2/10 permettent de prendre le contrôle d’un serveur sans mot de passe.
Le projet PHP a publié deux avis de sécurité préoccupants : CVE-2026-109618 et CVE-2026-109619. Ces deux problèmes sont classés comme critiques avec un score de 9,2 sur 10. Leur nom de code : PHP2Shell.
L’impact de cette faille ? La possibilité d’exécuter du code arbitraire sur le serveur. Un pirate n’a qu’à envoyer une requête spécialement conçue au site web pour en prendre le contrôle .
La particularité ? Cette vulnérabilité affecte PHP lui-même, et non une application construite par-dessus (comme WordPress, Drupal ou Joomla ) . La faille réside dans la manière dont PHP interprète certaines données reçues via des formulaires, avant l’ exécution du code du site . Même un site web parfaitement codé et à jour était vulnérable à cette attaque .
« PHP est omniprésent. Il alimente des sites comme WordPress, Drupal, Joomla et Magento, des plateformes d’hébergement mutualisé, des panneaux de contrôle et une quantité considérable de logiciels qui n’indiquent même pas qu’ils utilisent PHP », se souvient Huntress, une entreprise de cybersécurité.
Selon W3Techs, ce langage de programmation alimente 69,3 % des sites dont le langage côté serveur est connu.
Pourquoi tout le monde a-t-il mis ses sites hors ligne ?
Car la solution a été rendue publique quelques heures avant l’ annonce de l’ attaque .
Le 20 octobre, PHP a annoncé sur sa page GitHub la publication d’un correctif pour le 21 octobre à 14h00 UTC (soit 16h00 à Paris ). Cette mesure de précaution laissait aux administrateurs 24 heures pour planifier la maintenance et mettre à jour leurs systèmes. Le problème, c’est que ce type d’information donne également aux pirates informatiques une idée du moment opportun pour attaquer. Des alertes ont été publiées sur GitHub à 13h34 UTC, intitulées « Vulnérabilités critiques d’exécution de code à distance, mettez à jour maintenant ».
La seule solution dont disposaient les administrateurs était de mettre leurs sites web hors ligne et de les mettre à jour avec les versions corrigées de PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Mieux vaut une page de maintenance qu’un site web piraté.
La fondation qui supervise PHP a même admis une « défaillance structurelle » qui a retardé la correction de deux ans.
Élus, administrateurs système et utilisateurs : chacun attend quelque chose , répare quelque chose, désactive quelque chose , pour garantir quelque chose .
Si vous avez installé XAMPP ou WampServer sur votre ordinateur , vous devriez également mettre à jour votre interpréteur PHP local . Même hors ligne, il vous rend vulnérable .
Téléphone : 09 72 42 89 01
Email : info@titan-informatique.fr
Site Web : Titan-informatique.fr
