Une faille dans PHP met la majeure partie d’Internet en danger : 70 % des sites web sommés de fermer ou d’être piratés

Hier après-midi, un avertissement a été lancé, dont la plupart des gens n’entendront jamais parler. Dès ce matin, les gouvernements ont mis hors ligne leurs propres sites web.

Le problème réside dans deux failles de sécurité dans PHP. La plupart des gens n’ont jamais entendu parler de ce langage de programmation, mais ils l’utilisent tous les jours. Environ 7 sites web sur 10 fonctionnent avec ce langage. Cela inclut la plupart des boutiques en ligne, un nombre considérable de sites gouvernementaux et scolaires, ainsi que tous les sites WordPress de la planète, y compris celui-ci.

Les chercheurs en sécurité ont baptisé ce bug « PHP2Shell ». Il permet à un pirate de prendre le contrôle d’un serveur web depuis n’importe où dans le monde, sans mot de passe. Les détails ont fuité avant qu’un correctif ne soit prêt.

Nous écrivons beaucoup sur le réseau électrique, l’approvisionnement alimentaire et le système bancaire sur ce site, et cette histoire s’inscrit parfaitement dans cette lignée. Elle offre un aperçu concret de ce qui se passe lorsqu’un élément du système dont tout le monde dépend présente une faille.

Comment cela s’est-il passé ?

Mardi 20 octobre, l’équipe de sécurité de PHP a publié un avis préalable inhabituel. Elle a annoncé deux failles critiques, toutes deux notées 9,2 sur 10, pour lesquelles un correctif serait disponible le lendemain matin à 14 h UTC (7 h, heure du Pacifique). Aucun détail n’a été donné. L’idée était de laisser aux propriétaires de sites une journée pour se préparer avant que les pirates ne sachent quoi rechercher.

Cela n’a duré que quelques heures. Des détails ont fuité en ligne mardi après-midi, accompagnés d’une vidéo semblant montrer quelqu’un utilisant un outil d’exploitation contre WordPress, Drupal, Magento, Joomla et d’autres plateformes populaires. La société de sécurité watchTowr a confirmé que ces failles étaient bien réelles. Elles sont répertoriées sous les références CVE-2026-109618 et CVE-2026-109619.

Tôt mercredi matin, la société de sécurité Patchstack a déclaré avoir confirmé plusieurs attaques en cours, et le directeur technique de Cloudflare a indiqué que son entreprise constatait déjà des tentatives. Le correctif a été publié mercredi à 13 h 52 UTC, quelques minutes avant l’heure prévue. La société de sécurité Sansec avait prédit que des attaques massives commenceraient dans les 15 minutes suivant la publication.

Il ne s’agit pas d’un bug affectant un plugin ou une application en particulier. Il réside dans le moteur PHP qui sous-tend l’ensemble de ces éléments. Selon Wiz Research, qui a découvert ces failles, toutes les versions de PHP depuis la 5.4 sont affectées par au moins l’une des deux. Les chercheurs ont également démontré que ces failles pouvaient être exploitées pour lire la mémoire d’un serveur, où sont souvent stockés les mots de passe, les jetons d’authentification et les clés API.

Les gouvernements ont mis hors ligne leurs propres sites web

C’est cette partie qui devrait retenir votre attention. Avant la publication du correctif, les agences de cybersécurité conseillaient aux organisations qui ne pouvaient pas corriger rapidement leurs serveurs de les mettre hors ligne.

Le CERT-EU, l’équipe chargée de protéger les institutions de l’Union européenne, a publié un avis mardi soir. Il recommandait aux organisations incapables d’appliquer rapidement le correctif d’envisager de mettre leurs sites web hors ligne. Le Centre australien de cybersécurité a émis des recommandations similaires. L’un des développeurs principaux de PHP a déclaré que la mise hors ligne était la mesure la plus raisonnable jusqu’à la publication du correctif. Même aujourd’hui, Patchstack recommande aux sites à haut risque qui ne peuvent pas effectuer la mise à jour de fermer leurs services ou de passer en mode maintenance.

Beaucoup d’entre eux ont suivi ces conseils.

• Aux Pays-Bas, plusieurs sites ont été mis hors ligne. DigiD, le système d’identification utilisé pour les impôts, les soins de santé et d’autres services publics, a cessé de fonctionner. Il en a été de même pour le portail citoyen MijnOverheid et le site web de la Chambre des représentants. Même le site du Centre national néerlandais de cybersécurité a été mis hors ligne.
• En Finlande, Valtori a commencé à mettre hors ligne les sites du secteur public. Valtori est le centre informatique de l’État qui gère les services web d’une grande partie de l’administration. L’agence a déclaré qu’il n’y avait pas eu de violation de sécurité. Elle a simplement estimé que le risque était trop élevé.
• En Autriche, des administrations et des universités ont mis leurs sites hors ligne, et la messagerie en ligne à Vienne a suivi le mouvement.
• Nintendo et plusieurs grandes plateformes japonaises ont suspendu leurs services.
• Les universités, les boutiques en ligne et les forums publics ont désactivé leurs sites accessibles au public plutôt que de prendre le risque.

Des alertes ont été lancées par l’UE, l’Allemagne, le Japon, l’Australie, le Royaume-Uni et les Pays-Bas. Aux États-Unis, l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) a également tiré la sonnette d’alarme.

Réfléchissez à ce que cela signifie. Personne n’a piraté DigiD. Le gouvernement néerlandais l’a désactivé de son propre chef, car le laisser en service était plus dangereux. Pendant plusieurs heures, les habitants de tout un pays n’ont pas pu se connecter aux services de leur propre gouvernement, et c’était pourtant la solution la plus sûre.

Voilà à quoi ressemble le système lorsqu’il est soumis à une forte pression. Il n’y a pas de plan de secours. Il y a juste un bouton d’arrêt.

Pourquoi un seul bug peut affecter une si grande partie du Web

Quand on pense à Internet, on imagine Google, Amazon et Facebook. Mais derrière des millions de sites Web ordinaires se cache PHP, qui effectue le travail à chaque chargement de page.

La société de veille Web W3Techs indique que PHP fait tourner environ 70 % de tous les sites Web dont le langage serveur peut être identifié. Ce chiffre est resté compris entre 70 % et 80 % au cours de la dernière décennie, et aucun autre langage ne s’en approche.

Voici quelques exemples de ce qui repose sur ce langage :

• WordPress, qui fait tourner à lui seul environ 4 sites web sur 10
• Les boutiques en ligne utilisant WooCommerce et Magento
• Les sites Drupal et Joomla, omniprésents au sein des administrations, des établissements scolaires et des associations à but non lucratif
• D’innombrables sites de petites entreprises, de paroisses, de médias locaux, de systèmes de réservation et d’espaces de connexion réservés aux membres

Il s’agit là d’un point de défaillance unique. Un seul composant gratuit et open source sous-tend une part considérable du Web. Lorsqu’il tombe en panne, ce n’est pas une seule entreprise qui est touchée. Tout le monde l’est simultanément.

Cela vous concerne-t-il si vous ne gérez pas de site web ?

Oui. Vous n’avez peut-être jamais mis les mains sur un serveur, mais vous en utilisez des centaines. Un bug comme celui-ci peut toucher les utilisateurs lambda de plusieurs façons.

Vos mots de passe et vos comptes. Des chercheurs ont démontré que cette faille permettait d’extraire directement les mots de passe et les jetons d’authentification de la mémoire d’un serveur. Si un site que vous utilisez est piraté, vos identifiants pour ce site pourraient être volés. Si vous réutilisez ce mot de passe, tous les comptes qui l’utilisent sont également exposés.

Votre carte bancaire. Les pirates qui prennent le contrôle d’une boutique en ligne peuvent discrètement implanter du code sur la page de paiement afin de copier les numéros de carte au fur et à mesure que les utilisateurs les saisissent. De nombreuses petites boutiques en ligne fonctionnent sur des plateformes PHP telles que WooCommerce et Magento. La plupart des gérants de ces boutiques n’ont aucune idée de la version de PHP qu’ils utilisent.

Des logiciels malveillants provenant de sites en lesquels vous avez confiance. Un site web piraté peut être détourné contre ses propres visiteurs, en diffusant des logiciels malveillants ou de fausses pages de connexion. Vous pourriez vous rendre sur le site d’actualités locales ou la page de votre paroisse que vous consultez habituellement, mais ce ne sera plus le même site.

Des services qui disparaissent tout simplement. Demandez à n’importe qui aux Pays-Bas qui a essayé de se connecter à DigiD ce matin. Lorsque des sites se déconnectent pour se protéger, vous perdez l’accès à tout ce qui se trouvait derrière eux. Il peut s’agir de vos prestations sociales, de vos dossiers administratifs ou du paiement de vos factures.

Des violations de données dont vous n’entendrez pas parler avant des mois. Les intrusions ne sont souvent découvertes ou signalées que bien après qu’elles se sont produites. Certains des serveurs touchés cette semaine pourraient ne figurer dans un avis de violation qu’à l’année prochaine.

Si vous êtes un utilisateur régulier, certaines habitudes peuvent vous aider. Utilisez un mot de passe différent pour chaque compte important et activez l’authentification à deux facteurs. Surveillez de près vos relevés bancaires et de carte de paiement au cours des prochaines semaines. Méfiez-vous particulièrement de tout e-mail concernant des « mises à jour de sécurité » ou des « problèmes avec votre compte ». Les escrocs adorent les actualités comme celle-ci.

Les serveurs qui ne seront jamais corrigés

Tout le monde dit « il suffit de mettre à jour », mais le correctif n’existe que pour PHP 8.2, 8.3, 8.4 et 8.5. Les versions plus anciennes n’en bénéficieront pas.

Il existe encore beaucoup de versions anciennes de PHP. Le 20 octobre, la société de sécurité Mallory a recensé environ 884 000 serveurs connectés à Internet qui indiquent ouvertement utiliser PHP 8.1 ou une version antérieure. Cela représente 59 % des quelque 1,5 million de serveurs qui affichent publiquement leur version de PHP. Les chiffres de W3Techs publiés en début d’année montrent que PHP 5 fait encore tourner environ 6,6 % de tous les sites web, alors même qu’il ne bénéficie plus de mises à jour depuis des années. Même PHP 8.2, l’une des versions qui a bénéficié du correctif, arrivera en fin de support le 31 décembre.

Réfléchissez à qui exploite ces vieilles machines. Il y a la page de facturation du service des eaux d’une petite ville et le portail des archives du département. Il y a la page de connexion des patients d’une clinique locale, et le petit commerce familial dont le responsable web a pris sa retraite en 2019. Personne ne surveille ces systèmes, et c’est précisément pour cette raison que les pirates s’en prennent à eux.

Le correctif est sorti aujourd’hui. La faille restera ouverte sur des centaines de milliers de serveurs oubliés pendant des années.

Nous avons créé une dépendance qui finira par causer notre perte

PHP2Shell ne va probablement pas mettre Internet à genoux cette semaine. La plupart des grands hébergeurs appliqueront rapidement le correctif.

Mais regardez ce qui vient de se passer. Un seul bug dans un logiciel a mis la majeure partie du Web en danger du jour au lendemain. Les responsables ont eu environ une journée pour se préparer, et même ce délai a été raccourci par la fuite d’informations. Pour beaucoup d’entre eux, la meilleure option a été de mettre leurs propres systèmes hors service. La prochaine fois, il se peut qu’aucun correctif ne soit prêt.

Au cours des 25 dernières années, nous avons transféré la quasi-totalité de nos données vers des systèmes qui ne nous appartiennent pas, que nous ne pouvons ni voir ni réparer. Notre argent repose sur des comptes en ligne. Nos dossiers médicaux, nos déclarations d’impôts, nos actes notariés et nos polices d’assurance sont stockés sur les serveurs de tiers. Combien de personnes connaissez-vous qui seraient capables de purifier de l’eau ou de retrouver le chemin de chez elles sans sortir leur téléphone ? Nos communications passent par des antennes-relais, des applications et des identifiants qui renvoient à des serveurs comme ceux qui ont été exposés cette semaine.

Nous mettons en garde contre cela depuis un certain temps déjà. Au début du mois, des pirates ont pris le contrôle des systèmes de réfrigération de centaines de supermarchés français et ont détruit les denrées alimentaires qu’ils contenaient. Quelques jours auparavant, des experts en intelligence artificielle avaient déclaré à Axios qu’ils s’attendaient à une cyberattaque visant les banques, l’électricité ou l’approvisionnement en eau dans les 12 mois à venir. PHP2Shell illustre le même phénomène sous un angle différent. Tout est connecté, les points faibles sont communs, et lorsqu’un maillon cède, les dégâts se propagent rapidement.

Nous avons troqué la résilience contre la commodité il y a longtemps, et c’est lors de journées comme aujourd’hui que nous en payons le prix.

Ce que vous pouvez faire dès maintenant

Vous ne pouvez pas « corriger » Internet. Vous pouvez en revanche vous assurer que votre foyer ne se retrouve pas démuni en cas de panne.

1. Créez votre propre centre de connaissances hors ligne. Équipez un petit ordinateur à faible consommation d’énergie de Wikipédia hors ligne, de références médicales, de cartes et de vos propres documents : il continuera de fonctionner même lorsque le Web sera indisponible. Nous vous guidons tout au long de la configuration dans « Centres de connaissances hors ligne : créer votre propre bibliothèque numérique de survie ».
2. Téléchargez ce dont vous aurez besoin avant d’en avoir besoin. Un guide de réparation ou un manuel médical ne vous sera d’aucune utilité s’il se trouve sur un site web qui vient de cesser de fonctionner. Commencez par consulter notre liste d’e-books et de tablettes de survie, et conservez des copies papier des ouvrages les plus importants issus de notre sélection des meilleurs livres de survie.
3. Récupérez vos données stockées dans le cloud. Imprimez ou enregistrez des copies hors ligne de vos pièces d’identité, polices d’assurance, ordonnances, actes notariés et numéros de compte. Conservez-les sur une clé USB cryptée et dans un dossier étanche.
4. Gardez de l’argent liquide à portée de main. Lorsque les systèmes de paiement et les sites bancaires sont hors service, l’argent liquide reste une valeur sûre. Notre plan de survie en cas de perte d’emploi explique comment se constituer cette réserve.
5. Disposez d’un moyen de communication qui ne nécessite pas Internet. Une licence de radioamateur est l’un des meilleurs investissements que vous puissiez faire. Commencez par les ouvrages « Ham Radio for Emergency Communications » et « Prepper Radio : The No-BS Ham Radio Technician Exam Prep Guide ». Préparez ensuite un « Plan B RF » afin de pouvoir continuer à vous informer lorsque les sites web sont hors service. Vous trouverez plus d’informations dans « Situational Intel : Knowledge Is Power During a Crisis ».
6. Connaissez vos options de secours pour Internet. Si vous devez vous connecter à Internet pendant une panne, prévoyez plusieurs moyens d’y accéder. Consultez l’article « Internet hors réseau : comment accéder à Internet lorsque l’on vit hors réseau ».
7. Alimentez-vous vous-même en électricité. Rien de tout cela ne fonctionne sans électricité. Découvrez des installations solaires réelles à moins de 1 000 $ ainsi que notre sélection de générateurs solaires et de batteries externes.
8. Apprenez à vous orienter sans GPS. Personne ne peut pirater une carte papier et une boussole. Notre guide sur le matériel de navigation d’urgence vous indique ce qu’il faut garder dans votre camion.

Si vous gérez un site web, vérifiez dès aujourd’hui votre version de PHP. Il vous faut la version 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou une version plus récente. Si vous utilisez la version 8.1 ou une version antérieure, contactez votre hébergeur pour effectuer une mise à jour ou obtenir un correctif rétroporté. Si votre hébergeur n’est pas en mesure de vous indiquer la version que vous utilisez, cela en dit long.

Conclusion

Cette semaine, c’était PHP. La prochaine fois, ce sera autre chose dont la plupart d’entre nous n’ont jamais entendu parler. Le schéma ne change pas. Un système dont tout le monde dépend s’avère présenter une faille, et des millions de personnes se rendent compte au même moment qu’elles n’ont pas de sauvegarde.

Le réseau électrique, les banques, la chaîne d’approvisionnement et Internet sont tous conçus ainsi aujourd’hui. Ils sont centralisés, interconnectés et fragiles. Tôt ou tard, l’une de ces failles ne sera pas corrigée à temps.

Lorsque ce jour viendra, ceux qui s’en sortiront seront ceux qui auront mis en place leurs propres solutions de secours à l’avance. Commencez dès aujourd’hui à préparer les vôtres. Si vous êtes novice en la matière, notre guide « Prepper 101 » est un bon point de départ.