Alerte de cybersécurité concernant des vulnérabilités dans PHP

Une alerte de cybersécurité publiée par le CERT-FR le 21 octobre 2026 signale deux vulnérabilités critiques dans PHP, un composant largement utilisé pour faire fonctionner des sites web et des applications en ligne. Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ces failles pourraient permettre à un attaquant d'exécuter ses propres instructions sur un serveur vulnérable, sans disposer d'un compte sur le service visé. Des correctifs pour ces vulnérabilités ont été publiés le même jour.

Appel aux autorités européennes pour traiter les vulnérabilités

Cette alerte a incité les autorités européennes à donner la priorité à l'identification et à la correction des systèmes utilisant les versions vulnérables de PHP. Les entreprises sont invitées à vérifier l'ensemble des services accessibles sur Internet, notamment les sites web, les boutiques en ligne, les espaces clients, les portails de commande des distributeurs, les applications partenaires et les API, afin de déterminer lesquels utilisent la version vulnérable de PHP et lesquels peuvent être corrigés.

Des conséquences variables selon l'exploitation

Les conséquences d'une attaque réussie dépendent de ce que le programme compromis est autorisé à lire ou à modifier. Ces enjeux peuvent aller d'un site web indisponible à l'accès aux informations qu'il traite. La présence de PHP ne prouve pas une intrusion ni une vulnérabilité persistante si le correctif a déjà été appliqué.

Les entreprises doivent coordonner plusieurs prestataires

Les entreprises peuvent faire appel à plusieurs prestataires gérant différents aspects de leur présence en ligne, tels que les agences web, les hébergeurs et les équipes de maintenance. Chaque prestataire peut n'avoir qu'une connaissance partielle de l'installation. Le dirigeant doit obtenir des réponses précises : qui administre PHP, quelles corrections ont été appliquées, à quelle date, et qui a vérifié que l'application utilise bien la version corrigée.

Les vulnérabilités de PHP touchent davantage que les sites web

L'alerte dépasse également le cadre des sites web pour concerner les équipements et les applications internes. PHP peut faire fonctionner les interfaces d'administration de certains équipements, notamment les outils de vidéosurveillance, les applications de gestion technique des bâtiments ou des usines, les équipements réseau et les portails de maintenance. Le fabricant ou l'intégrateur doit confirmer la situation pour chaque installation.

Les fournisseurs ne résolvent pas toujours le problème

Dans certains cas, une mise à jour du service en ligne fournie par le fournisseur peut ne pas corriger le logiciel installé dans les locaux de l'entreprise. Il faut obtenir une réponse pour cette installation spécifique, en distinguant une mesure de protection temporaire de la correction complète de PHP.

Contrôles de sécurité et procédures de réponse

Le NCSC britannique recommande de rechercher des signes de compromission et d'accès persistants, si nécessaire avec l'aide d'un prestataire spécialisé. Cette recherche doit être organisée en parallèle des corrections, en préservant les traces utiles. En cas de suspicion, les spécialistes doivent déterminer ce qui était accessible, isoler les systèmes touchés et vérifier les conditions d'une reprise en toute sécurité.

Aspects juridiques en cas de violation de données

Si des données personnelles sont concernées par une violation, le service juridique et le délégué à la protection des données doivent évaluer les obligations de notification. Le RGPD prévoit une notification à l'autorité compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. La CNIL détaille cette procédure.