Mercredi 21 octobre, des sites d'universités, d'administrations, d'hôpitaux et d'hébergeurs ont disparu du web quelques heures, en Suisse comme à l'étranger. Rien n'était en panne : leurs responsables les avaient eux-mêmes coupés. En cause, deux failles de sécurité découvertes dans PHP, un composant que la plupart des internautes n'ont jamais entendu nommer.
Ce qui s'est passé
PHP est un langage informatique qui fonctionne en coulisses sur les serveurs. Il assemble les pages d'un site avant de les envoyer à votre navigateur. Il fait tourner près de 70 % des sites web, dont WordPress, Drupal et Joomla, ainsi que de nombreuses boutiques en ligne et sites de PME.
Le 20 octobre, l'équipe de PHP a annoncé un correctif d'urgence pour deux failles critiques. Les détails avaient fuité avant la date prévue. Le correctif a donc été publié le lendemain, 21 octobre. Les failles portent les références CVE-2026-109618 et CVE-2026-109619 et ont été surnommées « php2shell ».
Pourquoi c'est sérieux
Ces failles permettent à une personne malveillante de faire exécuter ses propres commandes sur un serveur à distance, sans mot de passe. Concrètement, elle peut en prendre le contrôle, voler des données ou modifier un site. Des chercheurs en sécurité ont montré que cela fonctionnait sur des installations toutes neuves de WordPress, de Drupal et de Joomla. Certains comparent l'événement à deux grandes alertes passées, Heartbleed (2014) et Log4Shell (2021). Cette comparaison vient des chercheurs eux-mêmes.
Trois éléments aggravent la situation :
La faille est dans PHP lui-même, pas dans un module. Un site irréprochable peut donc être touché. Mettre à jour WordPress ou une extension ne suffit pas : c'est le serveur, donc l'hébergeur, qui doit être corrigé.
Les attaques ont commencé avant le correctif. Cloudflare en a détecté dès le matin du 21 octobre.
Beaucoup de serveurs n'ont aucun correctif à installer. Les versions de PHP 8.1 et antérieures ne reçoivent plus de mises à jour officielles. Selon une analyse citée par la presse, près de la moitié des pages PHP observées tournent sur de telles versions.
Pourquoi des sites ont été coupés
Quand une faille est connue avant le correctif, certains préfèrent couper leurs services pour se protéger plutôt que de les laisser exposés. L'hébergeur bâlois Cyon a mis ses services d'hébergement hors ligne à titre préventif, ce qui a rendu temporairement inaccessibles les sites de ses clients. Le site de l'Université de Bâle était également indisponible. À l'étranger, des portails publics aux Pays-Bas, en Finlande et en France ont connu des coupures, tout comme des services de Wikimedia et de l'hôpital Charité de Berlin.
En Suisse, l'Office fédéral de la cybersécurité (OFCS) a émis un avertissement : il recommande de mettre à jour sans délai. Il rappelle aussi que PHP peut se trouver dans des interfaces d'administration, des applications internes ou des appareils, sans que l'exploitant le sache.
Ce que cela change pour une PME
Si votre site tourne sur un serveur vulnérable et qu'il est compromis, ce n'est pas seulement un problème informatique. Les données de vos clients ou de vos collaborateurs pourraient être exposées. Dans ce cas, la loi suisse sur la protection des données impose d'évaluer le risque et, s'il est élevé, d'annoncer la violation au PFPDT dans les meilleurs délais.
Trois questions à poser à votre prestataire web
Quelle version de PHP fait tourner notre site, et a-t-elle été corrigée depuis le 21 octobre ? Les versions corrigées sont les 8.2 à 8.5.
Notre serveur utilise-t-il une ancienne version, 8.1 ou antérieure ? Si oui, il faut planifier une migration.
Avez-vous vérifié l'absence de traces de compromission ? Fichiers inconnus, tâches planifiées suspectes, comptes ajoutés : ce contrôle doit suivre la mise à jour.
Une précaution pour les prochains jours
Ce type d'actualité est régulièrement exploité par des escrocs. Méfiez-vous des courriels qui vous demandent d'installer une « mise à jour de sécurité urgente » ou de vous connecter via un lien. Supprimez-les. Si un service que vous utilisez signale une fuite de données dans les jours qui viennent, changez le mot de passe du compte concerné.
Vous n'êtes pas sûr de ce que fait tourner votre site, ou de qui s'en occupe ?
Contactez-nous pour un point rapide, sans jargon.
