Europe : Deux failles critiques dans PHP : des sites publics européens contraints de fermer

Une alerte cybersécurité de grande ampleur a poussé plusieurs pays européens à suspendre temporairement l’accès à des centaines de sites gouvernementaux, scolaires et hospitaliers. L’origine du problème : deux vulnérabilités critiques détectées dans PHP, le langage informatique sur lequel repose une grande partie des sites web. Les développeurs ont réagi en publiant des correctifs d’urgence et en exhortant les utilisateurs à mettre leurs systèmes à jour sans délai.

En France, l’Anssi a ordonné la mise en maintenance préventive de tous les sites exposés. Les plateformes des préfectures et plusieurs services publics figurent parmi les sites concernés. Selon l’agence, plus de 600 000 serveurs français fonctionnent sous PHP.

Le mouvement dépasse les frontières : la Finlande signale des portails gouvernementaux inaccessibles, tandis que le Danemark, les Pays-Bas et la Belgique ont également suspendu certains services. Aux Pays-Bas, le centre national de cybersécurité a lui-même déconnecté son site par précaution, à l’image du port de Rotterdam et de plusieurs plateformes hospitalières.

Une gravité record

Les deux failles, référencées CVE-2026-109618 et CVE-2026-109619, obtiennent un score de 9,2 sur 10 selon le standard CVSS v4.0. Elles permettent à un attaquant non authentifié d’exécuter du code à distance sur les serveurs vulnérables, ouvrant la porte à une prise de contrôle complète des machines, à l’accès aux bases de données ou au vol de données sensibles.

Particularité notable : l’intelligence artificielle a joué un rôle dans la découverte. OpenAI indique que son modèle GPT-5.6 Sol a été mobilisé par la société de cybersécurité Calif pour identifier les brèches, tandis que Wiz, filiale de Google, a confirmé avoir trouvé des vecteurs d’exploitation supplémentaires. « Compte tenu de leur gravité et de la large diffusion de PHP, nous considérons ceci comme l’un des problèmes de sécurité avec le plus gros impact de mémoire récente », a déclaré OpenAI.

Correctifs disponibles, appel à la mobilisation

La fondation PHP a publié les versions corrigées mercredi après-midi (8.5.12, 8.4.27, 8.3.36 et 8.2.35), après une fuite d’informations techniques qui a précipité la diffusion. La NSA américaine et le Centre national britannique de cybersécurité recommandent de déconnecter immédiatement tout site non mis à jour.

Les autorités redoutent une exploitation rapide. « Nous considérons probable une exploitation massive à court terme dans les heures suivant la publication des correctifs », a averti Thomas Caspers, vice-président de l’Office fédéral allemand de la sécurité informatique (BSI), soulignant que les outils d’IA permettent désormais aux attaquants de concevoir des exploits en un temps record.

Les équipes techniques restaient mobilisées mercredi soir pour appliquer les mises à jour et rétablir les services, les administrations redirigeant leurs publications vers les réseaux sociaux et l’affichage physique.

PHP, pilier discret du web

Créé au début des années 1990, PHP équipe environ 70 % des sites web mondiaux selon les estimations du secteur. Il fait tourner des systèmes de gestion de contenu comme WordPress, Drupal ou Joomla, ainsi que de nombreuses plateformes d’hébergement partagé. Cette omniprésence explique l’ampleur des mesures de précaution prises mercredi à travers le monde.

Par Cherif Keita