Deux failles critiques dans PHP exposent les sites web utilisant des versions vulnérables à des attaques pouvant permettre l’exécution de code à distance, sans authentification. Des correctifs sont disponibles depuis le 21 octobre 2026, tandis que les autorités de cybersécurité du Maroc et de la Tunisie appellent les administrateurs à sécuriser leurs serveurs.
Deux vulnérabilités PHP qui permettent de compromettre un serveur
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom « PHP2Shell », présentent chacune un score de gravité de 9,2 sur 10 selon la norme CVSS 4.0.
Elles affectent le fonctionnement interne de PHP, un langage de programmation utilisé pour développer des sites et applications web. Leur exploitation peut permettre à un pirate d’exécuter du code malveillant sur un serveur sans disposer préalablement d’identifiants de connexion.
Les deux failles reposent sur des dysfonctionnements distincts :
- CVE-2026-109618 concerne une corruption de mémoire lorsqu’un processus PHP dépasse sa limite de mémoire autorisée.
- CVE-2026-109619 résulte de la réutilisation d’informations internes dont la mémoire a déjà été libérée.
Ces défauts peuvent être exploités pour détourner le fonctionnement normal du serveur. Les conséquences dépendent notamment des privilèges accordés au processus PHP.
Un attaquant pourrait ainsi accéder à des données sensibles, modifier des fichiers ou perturber le fonctionnement d’un service. Dans certaines configurations, une compromission plus importante du système est possible.
La menace dépasse le cadre théorique. Des chercheurs ont publié des démonstrations d’exploitation et des tentatives d’attaque ont été signalées. Toutefois, ces éléments ne permettent pas de considérer que tous les serveurs vulnérables ont été compromis.
Quelles versions de PHP et quels sites sont concernés ?
Le 21 octobre, les développeurs de PHP ont publié quatre versions corrigeant les deux vulnérabilités.
Les administrateurs doivent installer une version corrigée correspondant à leur branche logicielle :
- PHP 8.2.35 pour les installations utilisant PHP 8.2.
- PHP 8.3.36 pour celles utilisant PHP 8.3.
- PHP 8.4.27 pour la branche PHP 8.4.
- PHP 8.5.12 pour la branche PHP 8.5.
Les versions antérieures de ces branches restent vulnérables lorsqu’elles ne bénéficient pas d’un correctif spécifique fourni par leur distributeur.
Les installations PHP 8.1 et plus anciennes ne reçoivent plus les mises à jour de sécurité ordinaires du projet. Une migration vers une version maintenue reste donc nécessaire.
Le risque concerne notamment les sites reposant sur WordPress, Drupal ou Joomla, lorsque leur serveur utilise une version affectée de PHP.
Il ne s’agit cependant pas de vulnérabilités propres à ces systèmes de gestion de contenu. Installer uniquement une nouvelle version de WordPress ne suffit donc pas à corriger le problème.
Les sites marchands, plateformes administratives et applications manipulant des données confidentielles méritent une attention particulière.
Pourquoi le Maroc et la Tunisie ont-ils lancé l’alerte ?
Au Maroc, la Direction générale de la sécurité des systèmes d’information (DGSSI) a publié une alerte le 21 octobre, classant le risque et son impact au niveau critique.
Cette vigilance s’explique notamment par la place importante de PHP dans l’écosystème numérique national.
Selon les données de W3Techs rapportées le 21 octobre, 75,4 % des sites en domaine « .ma » dont le langage côté serveur est identifiable utilisent PHP.
Cette proportion ne signifie toutefois pas que trois sites marocains sur quatre sont vulnérables. Elle mesure l’utilisation de cette technologie, indépendamment des correctifs effectivement installés.
En Tunisie, l’Agence nationale de la cybersécurité (ANCS) a également publié un bulletin le 21 octobre. Elle y mentionne les risques d’exécution de code arbitraire, de déni de service et d’atteinte à la confidentialité des données.
Ces alertes témoignent d’une mobilisation régionale face à une menace mondiale. Aucun bilan précis des serveurs effectivement compromis au Maroc ou en Tunisie n’a été établi dans ces communications.
Comment protéger son site contre les failles PHP ?
La priorité consiste à identifier la version de PHP exécutée sur chaque serveur, puis à installer les correctifs appropriés.
Les responsables techniques doivent également vérifier les applications utilisant une version intégrée de PHP, contrôler les journaux de sécurité et rechercher d’éventuels signes d’intrusion.
Lorsque la mise à jour immédiate est impossible, CERT-EU recommande d’envisager l’isolement temporaire des applications accessibles depuis Internet.
Un pare-feu applicatif peut limiter certains scénarios d’attaque, mais ne constitue pas une protection complète.
La situation évolue également : le 23 octobre, PHP a signalé une troisième vulnérabilité, CVE-2026-115560, concernant des configurations inhabituelles. Des mesures d’atténuation spécifiques sont recommandées dans l’attente d’un correctif régulier.
Pour les entreprises et administrations, l’urgence ne se limite donc pas à installer une mise à jour. Elle implique également de vérifier l’intégrité des systèmes exposés et de maintenir une surveillance renforcée face aux tentatives d’exploitation.
