# Faille PHP : pourquoi des sites se coupent volontairement aujourd’hui

> Deux failles critiques dans PHP mettent Febelfin, Tweakers et d’autres sites hors ligne. Pourquoi PHP n’est pas moins sûr, et pourquoi la maintenance compte.

Publié le: 2026-10-21 · Mis à jour le: 2026-10-21 · Faits vérifiés le 2026-10-21
URL: https://sobra.be/fr/nostrabramus/faille-php-sites-hors-ligne/
Trouvé via: https://cert.europa.eu/publications/security-advisories/2026-018

À cause de deux failles critiques dans PHP, des sites web se mettent volontairement hors ligne aujourd’hui. Chez nous aussi : le site de Febelfin, la fédération du secteur financier belge, est inaccessible, sans explication. Aux Pays-Bas, Tweakers faisait partie des sites coupés, [selon la NOS](https://nos.nl/artikel/2636055-veel-websites-kwetsbaar-voor-lekken-in-populaire-programmeertaal). [/dev/null](https://sobra.be/fr/nostrabramus/dev-null-reseau-social-developpeurs/), le réseau social pour développeurs dont je parlais cette semaine, affichait lui aussi une page de maintenance. L’équipe a d’abord appliqué le correctif, pour que « the only remote code running here is ours ». Les deux sont de nouveau en ligne.

## Ce qui se passe avec PHP

[CERT-EU](https://cert.europa.eu/publications/security-advisories/2026-018), l’équipe de cybersécurité des institutions européennes, a signalé aujourd’hui CVE-2026-109618 et CVE-2026-109619. Les deux obtiennent un score de 9,2 sur 10 et peuvent mener à une exécution de code à distance : quelqu’un fait tourner son propre code sur votre serveur, sans se connecter. Les détails ont fuité dès le 20 octobre, avant la divulgation prévue, [écrit Sansec](https://sansec.io/research/php2shell).

Le correctif est désormais disponible. [PHP a publié](https://www.php.net/archive/2026.php#2026-10-21-5) les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et qualifie la mise à jour de seul choix sûr. Les distributions Linux ont reçu les correctifs à l’avance. Plus tard dans la journée, de nouvelles informations ont précisé la découverte et la collaboration derrière les correctifs.

Les sources ne s’accordent pas sur une exploitation en cours. [Patchstack](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/) reçoit des signalements d’attaques de la part d’hébergeurs, tandis que le Centre national néerlandais de cybersécurité (NCSC) n’avait pas encore constaté d’exploitation active. CERT-EU recommandait d’être prêt à appliquer le correctif immédiatement, et d’isoler d’Internet les sites qui ne peuvent pas l’être. D’où tous ces écrans noirs. Selon Sansec, le mode maintenance de WordPress ou de Magento ne protège pas, parce que PHP traite déjà la requête avant que le site ne vérifie ce mode.

## Deux mois de travail en amont

[OpenAI explique](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/) avoir aidé à coordonner la réponse ces deux derniers mois avec notamment Wiz et Cloudflare. Les responsables de PHP ont dirigé les correctifs et leur publication. Calif a trouvé une faille critique avec GPT-5.6 Sol ; Wiz a aussi découvert et signalé les deux failles indépendamment.

C’est la divulgation coordonnée : les équipes concernées ont le temps de tester les correctifs et de préparer des protections avant publication. Selon [Sansec](https://sansec.io/research/php2shell), des détails ont fuité le 20 octobre. Les attaquants disposaient alors eux aussi d’informations avant la divulgation prévue. Isoler temporairement les sites jusqu’à l’installation et la vérification du correctif permettait de couvrir cet intervalle.

Était-ce si facile à exploiter ? [PHP confirme](https://www.php.net/archive/2026.php#2026-10-21-5) qu’une attaque démontrée sur Apache avec mod_php nécessite une seule requête sans connexion, avant toute exécution du code du site. [Calif a testé des attaques notamment sur WordPress et Drupal](https://calif.io/php2shell/). Les possibilités dépendent de la version de PHP et de la configuration du serveur. Ces failles se trouvent dans PHP lui-même et ne nécessitent aucun plugin communautaire vulnérable. Le fait que wordpress.com ou wordpress.org reste en ligne ne permet pas de savoir si le site est protégé.

## PHP n’est pas moins sûr, il est partout

En conclure que PHP n’est pas sûr, ou qu’un site sous PHP ne l’est pas, me semble aller trop vite. PHP est tout simplement très utilisé : selon [W3Techs](https://w3techs.com/technologies/details/pl-php), 69,3 % des sites dont on connaît le langage côté serveur tournent sous PHP. WordPress, Drupal, Magento et Laravel en font partie. Une faille dans un outil aussi répandu touche d’un coup une grande partie du web, d’où toutes ces coupures simultanées.

Des sites communaux belges sont aussi développés avec Drupal. [iO l’a notamment choisi pour le nouveau site de Malines](https://press.iodigital.com/mechelen-gaat-60-nederlandse-steden-achterna-met-drupal-voor-overheden). Les services locaux sont donc aussi concernés. [VRT NWS rapporte dans son direct](https://www.vrt.be/vrtnws/nl/liveblog/verschillende-hulplijnen-offline-door-veiligheidslek-bezorgdhei~1792586431409/) que Gand a notamment mis son site hors ligne par précaution. Au moment de cette mise à jour, les chats d’Awel, de Tele-Onthaal et de la Zelfmoordlijn étaient également indisponibles. Leurs lignes téléphoniques restaient accessibles. Un site hors ligne n’a donc pas nécessairement été piraté ; ces organisations prennent des précautions.

## L’IA cherche aussi les failles

Cette découverte avec l’aide de l’IA correspond à ce qui se passe de façon bien visible. Nous développons beaucoup avec l’intelligence artificielle (IA), moi aussi, mais l’IA sert tout autant, en continu, à découvrir des vulnérabilités. En avril, Greg Castle (Kubernetes) écrivait sur [le blog de la CNCF](https://www.cncf.io/blog/2026/04/16/the-ai-driven-shift-in-vulnerability-discovery-what-maintainers-and-bug-finders-need-to-know/) qu’il est désormais « trivial » pour des non-experts de trouver de vraies failles. Le 1er octobre, Google a cessé d’accepter des signalements pour son programme de bug bounty open source, [après un afflux de soumissions automatiques](https://www.helpnetsecurity.com/2026/10/05/google-ai-generated-vulnerability-reports-pause/), pour la plupart non valables.

C’est une nouvelle bataille en ligne, et l’open source en ressent la pression. Un logiciel comme PHP est souvent maintenu par une communauté, et n’est certainement pas toujours payé. Ces équipes font tout pour garder leur logiciel simple à utiliser et sûr, et reçoivent maintenant des signalements au rythme d’une machine. Crazy times, comme on dit.

## Mises à jour et contrats de maintenance

Cela montre une fois de plus à quel point il est important de mettre régulièrement à jour vos sites et plateformes. Un correctif de PHP ne sert à rien tant que personne ne l’installe. PHP ne prend lui-même en charge que la version 8.2 et les suivantes. Cette fois, l’équipe de sécurité a quand même publié des correctifs minimaux en code source pour 7.4, 8.0 et 8.1, mais si vous tournez sous l’une de ces versions, vous devez la compiler vous-même ou passer par votre fournisseur.

C’est à cela que servent les contrats de maintenance. Ils existent pour une raison.

Notre partenaire d’hébergement [GeNx](https://genx.be) nous a prévenus de sa propre initiative. En concertation avec nos clients, l’équipe a aussi mis des sites critiques hors ligne pour éviter le pire. Beaucoup de propriétaires de sites ignorent même que leur site tourne sous PHP et ne se doutent de rien. Pouvoir compter sur un hébergeur qui suit la situation et prend les devants fait une vraie différence.

Merci à Sam et à l’équipe de GeNx pour ce suivi. Un bon service compte, surtout dans ces moments-là.

## Sources

- [Security Advisory 2026-018: Critical Vulnerabilities in PHP (CERT-EU)](https://cert.europa.eu/publications/security-advisories/2026-018)
- [Security advisory: critical remote code execution vulnerabilities (PHP.net)](https://www.php.net/archive/2026.php#2026-10-21-5)
- [Websites van overheid en in onderwijs offline vanwege lek, risico op hacks (NOS)](https://nos.nl/artikel/2636055-veel-websites-kwetsbaar-voor-lekken-in-populaire-programmeertaal)
- [Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619 (Sansec)](https://sansec.io/research/php2shell)
- [Major security alert: PHP vulnerable to critical RCE, attacks ongoing (Patchstack)](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/)
- [/dev/null, onderhoudspagina van 21 oktober 2026 (/dev/null)](https://dev-null.sh/)
- [Usage statistics of PHP for websites (W3Techs)](https://w3techs.com/technologies/details/pl-php)
- [The AI-driven shift in vulnerability discovery (Greg Castle, CNCF)](https://www.cncf.io/blog/2026/04/16/the-ai-driven-shift-in-vulnerability-discovery-what-maintainers-and-bug-finders-need-to-know/)
- [AI slop submissions force Google to freeze its open-source bug bounty (Help Net Security)](https://www.helpnetsecurity.com/2026/10/05/google-ai-generated-vulnerability-reports-pause/)
- [Patch the Planet: global response coordination as agents uncover critical vulnerabilities (OpenAI)](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/)
- [PHP2Shell (Calif Research)](https://calif.io/php2shell/)
- [Verschillende hulplijnen offline door veiligheidslek (VRT NWS liveblog)](https://www.vrt.be/vrtnws/nl/liveblog/verschillende-hulplijnen-offline-door-veiligheidslek-bezorgdhei~1792586431409/)
- [Mechelen gaat 60+ Nederlandse steden achterna met Drupal voor Overheden (iO)](https://press.iodigital.com/mechelen-gaat-60-nederlandse-steden-achterna-met-drupal-voor-overheden)