Faille PHP : Que faire et quels risques ?

Deux failles critiques, surnommées PHP2Shell, menacent les serveurs utilisant PHP, un langage présent sur près de 70 % des sites web. La France apparaît particulièrement exposée. Alors que des correctifs étaient attendus mercredi 21 octobre à 16h, quels sont les risques et comment se protéger ?

PHP est un langage de programmation qui fait fonctionner de nombreux sites, notamment ceux utilisant WordPress, Drupal, Joomla ou Magento (boutiques en ligne). Selon W3Techs, il équipe 69,3% des sites dont le langage côté serveur est identifié.

Le mardi 20 oxtobre,, l'équipe de sécurité de PHP a annoncé deux vulnérabilités critiques, référencées CVE-2026-109618 et CVE-2026-109619. Surnommées PHP2Shell, elles pourraient permettre à un pirate d'exécuter du code à distance, sans authentification préalable. En cas d'exploitation réussie, les conséquences pourraient être importantes : vol de données, modification de sites, installation de logiciels malveillants ou création de fausses pages destinées à escroquer les visiteurs.

 Rumeur: les Freebox impactées?

Une rumeur, relayée par cryptoast.fr, laissant à penser que les Freebox étaient impactées, s'est très rapidement révélée fausse. Les abonnés Freebox ne doivent donc pas se sentir concernés.

 Que faire et quels risques pour les serveurs ?

Pour les administrateurs de sites, la priorité est de vérifier les versions de PHP utilisées et d'installer les correctifs dès leur publication. Une simple mise à jour de WordPress, Joomla, Drupal ou autre application PHP ne suffira pas, puisque PHP doit être corrigé au niveau du serveur.

La plupart des grandes distributions Linux ont publié& les correctifs dans les heures ayant suivi la publication de la faille. Les administrateurs système devraient impérativement réaliser les mises à jour immédiatement, ou désactiver lzs sites à risque tant que la mise à niveau n'est pas réalisée.