Les vulnérabilités PHP provoquent des fermetures de sites web à l'échelle mondiale

La PHP Foundation a annoncé des correctifs pour CVE-2026-109618 et CVE-2026-109619 mercredi. Les failles pourraient permettre aux attaquants de prendre le contrôle à distance des serveurs. Les correctifs ont été publiés avant 10 h. EST. La PHP Foundation a noté que la mise à jour est le seul choix sûr.

Les gouvernements et les grands sites web ont mis hors ligne des sites pour prévenir l'exploitation. L'Australian Signals Directorate, la préfecture de police française, le service informatique du gouvernement allemand, le ministère belge des Affaires étrangères, l'agence néerlandaise de cybersécurité, le Service national finlandais des terres et d'autres ont mis des sites hors ligne. L'Agence nationale de la sécurité des États-Unis a averti que les failles pourraient donner un accès direct aux systèmes de fichiers ou aux bases de données. Le Centre national de cybersécurité du Royaume-Uni a conseillé de vérifier les portes dérobées.

Le CTO de Cloudflare, Dane Knecht, a déclaré que des attaques précoces se développaient. Cloudflare a mis à jour les règles de pare-feu comme mesure provisoire. Les vulnérabilités ont été signalées pour la première fois par les sociétés de sécurité Calif et Wiz utilisant des outils d'IA.

PHP alimente environ 75 % des sites web identifiables. Le langage est gratuit, logiciel open-source maintenu par des bénévoles. WordPress, Wikipedia, Slack et Magento d'Adobe sont construits sur PHP.

Les vulnérabilités affectent toutes les installations PHP à partir de la version 5, bien que seule la version 8.2+ reçoive un support officiel. Les versions héritées de PHP peuvent encore être vulnérables si elles ne sont pas corrigées.