Les failles de PHP restent une menace sérieuse

Un nombre important de sites web utilisant le langage de programmation PHP restent vulnérables à des failles de sécurité critiques, alors que des correctifs sont disponibles depuis plusieurs semaines. Au moins 250 000 domaines .fr, c'est-à-dire des adresses de sites web français, fonctionnent avec des versions obsolètes de PHP qui les exposent à une exploitation potentielle.

Des vulnérabilités critiques révélées en octobre

Le 21 octobre, l'équipe de développement de PHP a dévoilé deux failles de sécurité majeures permettant à des attaquants d'exécuter du code arbitraire à distance. Ces vulnérabilités sont graves, mais des correctifs sont disponibles pour les corriger. Certains sites, dont Next, ont temporairement suspendu leur activité afin d'appliquer les mises à jour et de prévenir d'éventuelles intrusions.

Une nouvelle vulnérabilité apparaît

Une troisième vulnérabilité, baptisée CVE-2026-115560, a depuis été identifiée. Elle permet également l'exécution de code à distance, bien que les conditions de son exploitation soient rares. Un correctif devrait être publié avec la prochaine mise à jour de PHP, selon le CERT-FR, l'agence française de cybersécurité.

Appel urgent des autorités américaines

La Cybersecurity and Infrastructure Security Agency (CISA), l'agence américaine de cybersécurité et de sécurité des infrastructures, a ajouté les deux vulnérabilités de PHP à son catalogue des vulnérabilités exploitées connues (KEV, pour Known Exploited Vulnerabilities), qui recense les failles déjà activement exploitées. Cette décision incite les agences fédérales et les organisations privées à mettre rapidement leurs systèmes à jour.

Des exploitations déjà en circulation

Le CERT-FR a confirmé que des attaquants tentent activement d'exploiter les vulnérabilités de PHP. Les versions concernées vont de PHP 5.4 (publiée en 2012) à PHP 8.5. Seules les versions les plus récentes ont reçu des mises à jour, laissant de nombreux systèmes exposés.

Des attaques réelles signalées

L'entreprise de cybersécurité Palo Alto Networks a indiqué que les vulnérabilités PHP2Shell sont utilisées pour attaquer des systèmes de gestion accessibles depuis internet. Des chercheurs de Dream Research ont par ailleurs découvert une campagne combinant PHP2Shell et une faille du noyau Linux, qui a permis de prendre le contrôle total de 25 serveurs, dont certains liés à des systèmes du gouvernement américain.

Une exposition généralisée des sites français

Une analyse des domaines .fr a révélé que près de 500 000 sites web français fonctionnent avec des versions de PHP potentiellement vulnérables. Ce chiffre repose sur des réponses HTTP contenant des informations sur la version de PHP, mais de nombreux autres sites pourraient encore être exposés en l'absence de mises à jour.