Vulnérabilités PHP : 70 % des sites web en péril face aux cyberattaques

Le monde du web fait face à une menace de grande ampleur. Des vulnérabilités majeures identifiées dans PHP mettent en péril la sécurité de millions de sites internet. Les experts en cybersécurité tirent la sonnette d’alarme et appellent à une réaction immédiate des administrateurs et hébergeurs.

Une menace d’ampleur mondiale

Deux vulnérabilités critiques ont été détectées dans PHP, le langage de programmation qui fait tourner une grande partie du web. Ces failles obtiennent un score alarmant de 9,2 sur 10 selon l’échelle CVSS v4.0.

L’ampleur du problème est considérable : environ 70 % des sites mondiaux sont potentiellement exposés. Toutes les versions de PHP sont concernées, depuis la version 5.4 jusqu’à la 8.1.

Les serveurs Apache particulièrement exposés

Les installations utilisant le module mod_php d’Apache présentent un risque encore plus élevé. Cette configuration, largement répandue chez les hébergeurs, constitue une cible privilégiée pour d’éventuelles attaques.

Des correctifs ont été rendus publics le 21 octobre 2026, mais leur déploiement nécessite une intervention rapide des responsables techniques.

Découverte assistée par intelligence artificielle

La société Wiz a utilisé l’intelligence artificielle pour identifier ces brèches de sécurité. Cette méthode innovante permet de détecter plus rapidement les vulnérabilités dans le code.

Parallèlement, OpenAI a lancé l’initiative Patch the Planet, destinée à soutenir la correction des logiciels critiques. Toutefois, les experts avertissent que les cybercriminels exploitent également l’IA pour développer des outils offensifs.

Des signalements précoces ignorés

La société Calif avait signalé ces failles à l’équipe PHP dès août 2026. Malgré cet avertissement, des traces d’exploitation malveillante ont été observées avant même la publication officielle des correctifs.

Cloudflare a notamment détecté un trafic d’attaque suspect durant cette période, suggérant que certains acteurs malveillants avaient déjà connaissance de ces vulnérabilités.

Réactions des autorités de cybersécurité

Le Cert-FR recommande vivement d’isoler les systèmes vulnérables et de migrer vers des versions maintenues de PHP. Cette agence française de sécurité informatique a publié une alerte prioritaire.

La NSA et le NCSC vont encore plus loin en préconisant de mettre les systèmes hors ligne jusqu’à ce que les mises à jour soient appliquées. Une mesure radicale qui témoigne de la gravité de la situation.

Mesures préventives gouvernementales

Face à l’urgence, plusieurs gouvernements ont pris des décisions drastiques. Des sites officiels en Belgique et en Finlande ont été temporairement désactivés par précaution.

Cette approche permet d’éviter toute exploitation malveillante pendant la phase de mise à jour des systèmes.

WordPress : pas de mise à jour nécessaire

Bonne nouvelle pour les utilisateurs de WordPress : le système de gestion de contenu lui-même ne nécessite aucune mise à jour. Seule la version de PHP doit être corrigée.

Les administrateurs peuvent vérifier leur version actuelle via le tableau de bord WordPress ou directement depuis le panneau de leur hébergeur.

Comment vérifier et agir

Il est impératif de contrôler votre version de PHP. Si vous utilisez une version antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, votre site est vulnérable.

Contactez immédiatement votre hébergeur pour obtenir la mise à jour. Des réglages temporaires existent mais ne garantissent pas une protection complète de votre installation.

Une course contre la montre

Chaque jour sans mise à jour augmente le risque d’exploitation. Les experts insistent sur l’urgence d’agir, car les cybercriminels disposent désormais de toutes les informations nécessaires pour développer des attaques.

La publication des correctifs, bien que nécessaire, offre également aux pirates informatiques une feuille de route pour identifier les systèmes non protégés.