Failles PHP : pourquoi de nombreux sites ont soudainement été mis « en maintenance »

[Tlemceni13]

Investing.com - PHP a publié aujourd’hui des correctifs d’urgence comblant deux vulnérabilités critiques d’exécution de code à distance, notées CVSS v4.0 9,2, affectant chaque serveur web exécutant PHP 5.4 ou une version ultérieure — une population couvrant environ 70% des sites web dans le monde.

Ces failles, collectivement baptisées PHP2Shell (CVE-2026-109618 et CVE-2026-109619), ont été corrigées dans quatre versions publiées simultanément : les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Cloudflare Inc (NYSE: NET) est l’une des valeurs les plus exposées à cette crise : son pare-feu applicatif web (WAF) constitue la première barrière commerciale entre les attaquants et des millions de sites PHP. Le titre s’échangeait à 307,79$, en hausse de 16,10$ (+5,52%) en séance mercredi, les investisseurs intégrant le rôle de premier plan de la société dans la mitigation de la menace. D’autres valeurs de cybersécurité, comme CrowdStrike et Palo Alto Networks, sont également en hausse.

Les problèmes ont commencé avant même la publication du correctif. Cloudflare a enregistré les premières attaques contre des sites PHP à 09h43 le 21 octobre, des heures avant l’ouverture de la fenêtre officielle de publication des correctifs, prévue vers 16h00. Les détails des vulnérabilités avaient été divulgués publiquement le 20 octobre, un jour avant la date d’embargo coordonnée, contraignant l’équipe de sécurité PHP à accélérer son calendrier de publication, selon des informations de fond rapportées par sansec.io.

Le directeur technique de Cloudflare, Dane Knecht, a réagi rapidement. « Les sites PHP protégés par Cloudflare disposent déjà d’un ensemble initial de règles WAF déployées pour les vecteurs d’exploitation connus de ces vulnérabilités. Les règles sont disponibles pour tous les clients, y compris ceux bénéficiant de l’offre gratuite », a-t-il déclaré. Knecht a ajouté que les règles WAF ne constituent « qu’une SOLUTION PROVISOIRE » et a exhorté les opérateurs de sites à appliquer les correctifs officiels dès que possible, précisant que la société mettait à jour ses mesures d’atténuation au fur et à mesure que de nouveaux vecteurs d’attaque émergeaient.

 

Cloudflare

 

Suivre

Analyser NET

 

 

307,22

▲+15,64(+5,36%)

307,70

▲+0,48(+0,16%)

1J

1S

1M

6M

1A

5A

Max

 

Trader NET maintenant

Trader

Les enjeux techniques sont élevés. CVE-2026-109618 permet non seulement l’exécution de code à distance, mais comporte également une fuite mémoire de type Heartbleed susceptible d’exposer des mots de passe, des jetons de session, des clés API et des clés privées TLS provenant d’autres requêtes serveur — sans que l’application n’ait jamais appelé session_start(), selon sansec.io. Cette combinaison d’exécution de code et de collecte passive d’identifiants rend ces vulnérabilités particulièrement dangereuses pour les environnements d’hébergement mutualisé exécutant WordPress, Drupal, Joomla ou Magento.

Des gouvernements ont déjà mis leurs sites hors ligne par précaution. Reuters a rapporté que des sites web d’agences de cybersécurité aux Pays-Bas et en Finlande ont été mis hors ligne, y compris, ironiquement, le Centre national néerlandais de cybersécurité lui-même. La Chambre des représentants néerlandaise et le site d’actualités sur la sécurité Security.NL ont également suspendu leurs opérations. Des agences de cybersécurité à travers l’Europe, en Australie, au Japon et en Grande-Bretagne ont exhorté les opérateurs PHP à effectuer la mise à jour immédiatement ou à mettre leurs sites hors ligne.

L’origine de la découverte comporte un sous-texte notable. OpenAI a indiqué que son modèle GPT-5.6 Sol a découvert indépendamment CVE-2026-109618 dans le cadre de son initiative « Patch the Planet » en août 2026, tandis que Wiz Research a découvert et signalé indépendamment les deux failles. OpenAI a présenté cette découverte en priorité par l’IA comme une « Fenêtre du Défenseur », un intervalle coordonné durant lequel les correctifs peuvent être déployés avant que des acteurs malveillants n’exploitent la même découverte.

 

Une lacune critique demeure : les versions PHP 8.1 et antérieures ne bénéficient d’aucun correctif officiel. L’équipe de sécurité PHP a publié des rétroportages minimaux du code source pour PHP 7.4, 8.0 et 8.1 à l’intention de ceux qui compilent depuis les sources, mais les installations en fin de vie fonctionnant sur des infrastructures d’hébergement commercial sont définitivement exposées, à moins que les opérateurs ne prennent des mesures indépendantes. « Il existe tellement d’installations embarquées qui ne seront jamais corrigées. Trop d’applications oubliées et non maintenues. Les répercussions de celle-ci seront durables », a déclaré l’expert en informatique judiciaire Hal Pomeranz, cité par helpnetsecurity.com. Le chercheur en sécurité Kevin Beaumont a été tout aussi direct : « La situation PHP va entraîner une multitude d’incidents, c’est l’une des plus grandes vulnérabilités de ces dernières années. »

Deux catalyseurs à court terme détermineront l’évolution de cette situation. Premièrement, une inscription formelle au catalogue des vulnérabilités exploitées connues (KEV) de la CISA déclencherait des délais de correction obligatoires pour les agences fédérales américaines et accélérerait probablement l’adoption des services WAF par les entreprises, constituant un vent favorable direct pour les revenus de Cloudflare. Deuxièmement, les principaux fournisseurs d’hébergement géré, notamment WP Engine, Kinsta et SiteGround, n’ont pas encore confirmé les calendriers de déploiement des packages PHP mis à jour ; tout retard dans la distribution des correctifs aux clients d’hébergement mutualisé prolonge la fenêtre d’exposition et maintient la demande de protection au niveau de la couche WAF à un niveau élevé. Si de nouveaux variants d’exploitation venaient à contourner les règles WAF initiales déployées par Cloudflare, une nouvelle version de correctif PHP pourrait être publiée avant la fin de la semaine, déclenchant potentiellement une deuxième vague de mises à jour d’urgence à travers le parc de serveurs d’internet.