Une importante alerte de cybersécurité secoue Internet depuis le mercredi 21 octobre 2026. Deux vulnérabilités critiques découvertes dans PHP, l’un des langages informatiques les plus utilisés pour faire fonctionner les sites web, ont contraint plusieurs administrations, entreprises et organisations internationales à suspendre temporairement leurs plateformes numériques. Alors que des correctifs d’urgence ont été publiés, des millions de tentatives d’exploitation ont déjà été signalées par Cloudflare.
Connues sous le nom de « PHP2Shell », ces deux failles de sécurité, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, présentent un niveau de gravité de 9,2 sur 10. Elles permettent potentiellement à des pirates informatiques d’exécuter des programmes malveillants sur des serveurs vulnérables sans disposer préalablement d’un identifiant ou d’un mot de passe.
PHP constitue l’une des technologies fondamentales du Web. Il est notamment utilisé par des systèmes de gestion de contenu comme WordPress, Joomla et Drupal, qui assurent le fonctionnement de millions de sites d’information, de plateformes commerciales et de services publics.
La découverte de ces vulnérabilités a donc provoqué une mobilisation internationale des spécialistes de la cybersécurité.
Des administrations et organisations internationales contraintes de suspendre leurs sites
Dès le mercredi 21 octobre, plusieurs institutions européennes ont décidé de désactiver temporairement leurs plateformes Internet afin de prévenir d’éventuelles intrusions.
En France, le ministère de l’Intérieur a notamment suspendu les sites des préfectures. Des mesures similaires ont été prises en Allemagne, en Belgique, aux Pays-Bas, en Finlande et en République tchèque.
Aux Pays-Bas, le port de Rotterdam, plusieurs établissements hospitaliers ainsi que des services administratifs ont été concernés par ces interruptions préventives.
L’ICANN, organisme international chargé de la coordination des noms de domaine sur Internet, a également suspendu trois de ses sites administratifs utilisant PHP.
Dans une communication actualisée le jeudi 22 octobre, l’organisation a toutefois annoncé leur remise en service après l’installation et la vérification des correctifs de sécurité.
Ces interruptions ne résultent donc pas nécessairement d’attaques réussies, mais principalement de mesures de précaution prises par les responsables informatiques.
Des millions de tentatives d’exploitation détectées
La menace a rapidement attiré l’attention des cybercriminels.
Selon des informations rapportées le 22 octobre par l’agence Reuters, Matthew Prince, directeur général de Cloudflare, a annoncé que son entreprise avait observé des millions de tentatives d’exploitation après la divulgation publique des vulnérabilités.
D’après ses explications, le nombre de tentatives est passé de plusieurs milliers avant l’annonce officielle à plusieurs centaines de milliers dans les heures suivantes, avant d’atteindre plusieurs millions.
Ces chiffres concernent des tentatives d’exploitation détectées sur le réseau de Cloudflare et ne signifient pas que des millions de sites ont effectivement été piratés.
Des correctifs d’urgence publiés
Face à l’ampleur de la menace, les développeurs de PHP ont publié, le mercredi 21 octobre, quatre versions corrigées : PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 et PHP 8.5.12.
Les administrateurs des sites utilisant des versions antérieures sont invités à effectuer immédiatement les mises à jour nécessaires.
Dans son alerte officielle du 21 octobre, le Centre canadien pour la cybersécurité souligne :
« Les serveurs et applications PHP accessibles à partir d’Internet sont particulièrement exposés. »
Centre canadien pour la cybersécurité, alerte AL26-026 du 21 octobre 2026.
L’organisme recommande également de surveiller les journaux des serveurs afin de détecter d’éventuelles activités suspectes.
Les sites africains également concernés par la menace
Bien que les interruptions les plus médiatisées aient été enregistrées en Europe et en Asie, les vulnérabilités ne sont pas limitées à une région géographique.
En Afrique, notamment en République démocratique du Congo, les sites d’information, les plateformes universitaires, les services administratifs et les commerces électroniques utilisant PHP peuvent également être exposés lorsqu’ils fonctionnent avec des versions non corrigées.
Toutefois, aucune information officiellement vérifiée ne permet, à ce stade, d’établir le nombre de sites congolais potentiellement vulnérables ou effectivement compromis.
Les responsables des plateformes numériques sont appelés à vérifier les versions PHP utilisées par leurs hébergeurs et à s’assurer que les correctifs ont été appliqués.
La publication des mises à jour constitue une étape essentielle pour contenir la menace, mais elle ne permet pas, à elle seule, d’exclure d’éventuelles compromissions survenues avant leur installation