Des sites web du monde entier, exposés à deux failles de cybersécurité, contraints à des maintenances d’urgence

Les développeurs du langage de programmation PHP, principalement ⁠utilisé pour produire des pages internet dynamiques, ont annoncé ‌mercredi 21 octobre qu’ils allaient publier des ‌correctifs pour deux failles critiques (d’une importance estimée à 9,2 sur une échelle de 10), qui exposeraient de nombreux sites à un risque de cyberattaques.

Ces failles avaient été révélées la veille au soir sur le site de la fondation PHP. « Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L’éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16 h heure de Paris » , explique ainsi le Cert-FR, l’organisme du gouvernement français chargé de la réponse aux risques cyber, en publiant sa propre alerte ce mercredi. « Tous les utilisateurs de PHP sont encouragés à se préparer dès maintenant afin de pouvoir effectuer la mise à niveau dès que la version sera disponible » , avait complété la fondation PHP.

De nombreux sites, y compris des sites de préfectures françaises ou d’institutions publiques comme Météo France, ont néanmoins été mis hors ligne en attendant la mise à disposition et l’application du correctif. Certains sites, comme ouest-france.fr. ont pu identifier leurs zones de fragilité et les corriger en amont de la publication du patch de la Fondation PHP, ont eux pu rester ouvert.

Le langage PHP, diffusé en open source (et donc librement utilisable et modifiable par les développeurs du monde entier) est ⁠utilisé sur une grande partie d’Internet. « Le langage fait tourner WordPress et 69,3 % des sites web dont la technologie côté serveur est connue » , rapporte Numerama , qui cite W3techs.

« PHP est omniprésent. Il fait discrètement fonctionner les sites ‌WordPress, Drupal, Joomla et Magento, les plateformes d’hébergement mutualisé, les panneaux de contrôle et une multitude de logiciels qui ne mentionnent même pas qu’ils utilisent PHP en arrière-plan » , a déclaré de son côté la société de cybersécurité Huntress dans un article de blog, cité par l’agence Reuters .

Dane Knecht, directeur technique de ‌la société de sécurité Web et cloud Cloudflare, a déclaré que des attaques commençaient à apparaître et que Cloudflare mettait à jour ses règles de pare-feu ‌à titre de mesure provisoire.

PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. We are seeing early attacks emerging and are updating mitigations as new vectors show up. This is a STOPGAP only. Patch as soon as @ThePHPF releases the update at 14:00 UTC today.

« Nous constatons l’apparition des premières attaques et mettons à jour nos mesures d’atténuation à mesure que de nouveaux vecteurs apparaissent. Il ne s’agit que d’une SOLUTION PROVISOIRE.