Faille PHP : pourquoi des sites se coupent volontairement aujourd’hui

À cause de deux failles critiques dans PHP, des sites web se mettent volontairement hors ligne aujourd’hui. Chez nous aussi : le site de Febelfin, la fédération du secteur financier belge, est inaccessible, sans explication. Aux Pays-Bas, Tweakers faisait partie des sites coupés, selon la NOS (s’ouvre dans un nouvel onglet). /dev/null, le réseau social pour développeurs dont je parlais cette semaine, affichait lui aussi une page de maintenance. L’équipe a d’abord appliqué le correctif, pour que « the only remote code running here is ours ». Les deux sont de nouveau en ligne.

Ce qui se passe avec PHP

CERT-EU (s’ouvre dans un nouvel onglet), l’équipe de cybersécurité des institutions européennes, a signalé aujourd’hui CVE-2026-109618 et CVE-2026-109619. Les deux obtiennent un score de 9,2 sur 10 et peuvent mener à une exécution de code à distance : quelqu’un fait tourner son propre code sur votre serveur, sans se connecter. Les détails ont fuité dès le 20 octobre, avant la divulgation prévue, écrit Sansec (s’ouvre dans un nouvel onglet).

Le correctif est désormais disponible. PHP a publié (s’ouvre dans un nouvel onglet) les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et qualifie la mise à jour de seul choix sûr. Les distributions Linux ont reçu les correctifs à l’avance. Plus tard dans la journée, de nouvelles informations ont précisé la découverte et la collaboration derrière les correctifs.

Les sources ne s’accordent pas sur une exploitation en cours. Patchstack (s’ouvre dans un nouvel onglet) reçoit des signalements d’attaques de la part d’hébergeurs, tandis que le Centre national néerlandais de cybersécurité (NCSC) n’avait pas encore constaté d’exploitation active. CERT-EU recommandait d’être prêt à appliquer le correctif immédiatement, et d’isoler d’Internet les sites qui ne peuvent pas l’être. D’où tous ces écrans noirs. Selon Sansec, le mode maintenance de WordPress ou de Magento ne protège pas, parce que PHP traite déjà la requête avant que le site ne vérifie ce mode.

Deux mois de travail en amont

OpenAI explique (s’ouvre dans un nouvel onglet) avoir aidé à coordonner la réponse ces deux derniers mois avec notamment Wiz et Cloudflare. Les responsables de PHP ont dirigé les correctifs et leur publication. Calif a trouvé une faille critique avec GPT-5.6 Sol ; Wiz a aussi découvert et signalé les deux failles indépendamment.

C’est la divulgation coordonnée : les équipes concernées ont le temps de tester les correctifs et de préparer des protections avant publication. Selon Sansec (s’ouvre dans un nouvel onglet), des détails ont fuité le 20 octobre. Les attaquants disposaient alors eux aussi d’informations avant la divulgation prévue. Isoler temporairement les sites jusqu’à l’installation et la vérification du correctif permettait de couvrir cet intervalle.

Était-ce si facile à exploiter ? PHP confirme (s’ouvre dans un nouvel onglet) qu’une attaque démontrée sur Apache avec mod_php nécessite une seule requête sans connexion, avant toute exécution du code du site. Calif a testé des attaques notamment sur WordPress et Drupal (s’ouvre dans un nouvel onglet). Les possibilités dépendent de la version de PHP et de la configuration du serveur. Ces failles se trouvent dans PHP lui-même et ne nécessitent aucun plugin communautaire vulnérable. Le fait que wordpress.com ou wordpress.org reste en ligne ne permet pas de savoir si le site est protégé.

PHP n’est pas moins sûr, il est partout

En conclure que PHP n’est pas sûr, ou qu’un site sous PHP ne l’est pas, me semble aller trop vite. PHP est tout simplement très utilisé : selon W3Techs (s’ouvre dans un nouvel onglet), 69,3 % des sites dont on connaît le langage côté serveur tournent sous PHP. WordPress, Drupal, Magento et Laravel en font partie. Une faille dans un outil aussi répandu touche d’un coup une grande partie du web, d’où toutes ces coupures simultanées.

Des sites communaux belges sont aussi développés avec Drupal. iO l’a notamment choisi pour le nouveau site de Malines (s’ouvre dans un nouvel onglet). Les services locaux sont donc aussi concernés. VRT NWS rapporte dans son direct (s’ouvre dans un nouvel onglet) que Gand a notamment mis son site hors ligne par précaution. Au moment de cette mise à jour, les chats d’Awel, de Tele-Onthaal et de la Zelfmoordlijn étaient également indisponibles. Leurs lignes téléphoniques restaient accessibles. Un site hors ligne n’a donc pas nécessairement été piraté ; ces organisations prennent des précautions.

L’IA cherche aussi les failles

Cette découverte avec l’aide de l’IA correspond à ce qui se passe de façon bien visible. Nous développons beaucoup avec l’intelligence artificielle (IA), moi aussi, mais l’IA sert tout autant, en continu, à découvrir des vulnérabilités. En avril, Greg Castle (Kubernetes) écrivait sur le blog de la CNCF (s’ouvre dans un nouvel onglet) qu’il est désormais « trivial » pour des non-experts de trouver de vraies failles. Le 1er octobre, Google a cessé d’accepter des signalements pour son programme de bug bounty open source, après un afflux de soumissions automatiques (s’ouvre dans un nouvel onglet), pour la plupart non valables.

C’est une nouvelle bataille en ligne, et l’open source en ressent la pression. Un logiciel comme PHP est souvent maintenu par une communauté, et n’est certainement pas toujours payé. Ces équipes font tout pour garder leur logiciel simple à utiliser et sûr, et reçoivent maintenant des signalements au rythme d’une machine. Crazy times, comme on dit.

Mises à jour et contrats de maintenance

Cela montre une fois de plus à quel point il est important de mettre régulièrement à jour vos sites et plateformes. Un correctif de PHP ne sert à rien tant que personne ne l’installe. PHP ne prend lui-même en charge que la version 8.2 et les suivantes. Cette fois, l’équipe de sécurité a quand même publié des correctifs minimaux en code source pour 7.4, 8.0 et 8.1, mais si vous tournez sous l’une de ces versions, vous devez la compiler vous-même ou passer par votre fournisseur.

C’est à cela que servent les contrats de maintenance. Ils existent pour une raison.

Notre partenaire d’hébergement GeNx (s’ouvre dans un nouvel onglet) nous a prévenus de sa propre initiative. En concertation avec nos clients, l’équipe a aussi mis des sites critiques hors ligne pour éviter le pire. Beaucoup de propriétaires de sites ignorent même que leur site tourne sous PHP et ne se doutent de rien. Pouvoir compter sur un hébergeur qui suit la situation et prend les devants fait une vraie différence.

Merci à Sam et à l’équipe de GeNx pour ce suivi. Un bon service compte, surtout dans ces moments-là.