PHP2Shell : Retour sur une journée en enfer sur l’Internet mondial

Fermer pour éviter l’effraction. Mercredi 21 octobre, des préfectures françaises, des administrations européennes et des entreprises ont suspendu leurs services en ligne face à deux failles critiques dans PHP. Les correctifs sont disponibles, mais les tentatives d’exploitation se comptent désormais en millions, selon Cloudflare. Au lendemain des premières coupures, la course continue : protéger les serveurs, vérifier leur état, puis rouvrir sans exposer les utilisateurs.

Points clés

• Deux vulnérabilités de PHP peuvent permettre l’exécution de code à distance sans authentification.
• Cloudflare rapporte des millions de tentatives d’exploitation, sans que ce chiffre corresponde à autant de piratages réussis.
• Les fermetures préventives touchent des administrations, des banques et des services de transport, de l’Europe au Japon.
• Les correctifs disponibles depuis le 21 octobre nécessitent un déploiement et des vérifications avant la remise en service.

Réservez Ledger Atom en Founder’s Edition : un bon de 50 $ en BTC et une Ledger Recovery Key inclus. Réservation remboursable, livraison en 2027.

Réserver mon Ledger Atom

Lien commercial

Des sites coupés pendant que les tentatives d’attaque se multiplient

Pour les internautes, l’incident commence souvent par un message de maintenance. En France, plusieurs préfectures et services publics deviennent inaccessibles mercredi après-midi. Comme nous le rapportions dans notre précédent article, le ministère de l’Intérieur explique avoir suspendu ses sites exposés à la demande de l’ANSSI.

Ces coupures répondent à une menace située dans PHP lui-même, le logiciel qui exécute le code de nombreux sites, notamment WordPress et Drupal. Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, peuvent permettre à un attaquant de lancer du code sur un serveur sans disposer d’un compte. Le projet PHP souligne un risque particulièrement élevé avec Apache et son module PHP : une exploitation peut intervenir avant l’exécution du code de l’application.

La réponse dépasse rapidement les frontières françaises. Jeudi, Reuters rapporte des suspensions partielles chez Nomura, Mitsubishi UFJ, ANA et East Japan Railway au Japon. Orange indique également avoir interrompu l’accès à certains sites et applications dans plusieurs filiales. Il s’agit de services numériques concernés, pas d’un arrêt général des banques ou des transports.

Pendant ce temps, les requêtes malveillantes affluent. Selon Matthew Prince, directeur général de Cloudflare, son réseau avait observé des milliers de tentatives dans les dix heures précédant l’annonce publique. Le compteur passe ensuite à des dizaines de milliers en 45 minutes, puis à des centaines de milliers en deux heures, avant d’atteindre des millions !

Une tentative ne signifie toutefois pas une intrusion réussie. Ces chiffres mesurent l’activité détectée sur le réseau de Cloudflare. De même, un site fermé par précaution n’est pas nécessairement compromis. En Finlande, l’opérateur informatique public Valtori précise que ses interruptions ne résultent pas d’une intrusion identifiée.

Un correctif disponible, mais une remise en service qui prend du temps

Le rendez-vous annoncé pour les correctifs était fixé mercredi à 16 heures, heure de Paris. PHP publie les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Pour les exploitants, leur disponibilité déclenche le travail de déploiement : retrouver les installations concernées, appliquer les mises à jour et vérifier le fonctionnement des applications.

Mettre à jour WordPress ou ses extensions ne remplace pas la correction du moteur PHP. Les anciennes branches compliquent également l’intervention : des correctifs sources existent pour PHP 7.4, 8.0 et 8.1, mais ces versions restent hors maintenance officielle. Les exploitants doivent vérifier la prise en charge effective par leur hébergeur ou leur fournisseur.

Les protections intermédiaires apportent un répit. Cloudflare indique avoir activé ses règles de filtrage par défaut dès 5 h 02 mercredi, heure française, avant la divulgation publique. Cependant, le CERT-FR précise que certains contournements ne réduisent l’exposition qu’à l’une des deux vulnérabilités. Ils ne remplacent donc pas les correctifs.

L’intelligence artificielle ajoute une dimension à cet épisode. Wiz explique avoir utilisé des modèles pour transformer des défauts anciens en chaînes d’exploitation fonctionnelles, puis adapter celles-ci à plusieurs applications. Les mêmes capacités servent aussi à vérifier les corrections et à développer des protections. L’enjeu tient à la réduction du temps nécessaire pour rendre une faille exploitable.

Jeudi, Valtori avertit que certains rétablissements peuvent prendre des jours, voire des semaines, car les systèmes nécessitent des tests. La publication du correctif ne clôt donc pas l’incident.

Cette journée rappelle une dépendance souvent invisible : des services très différents partagent les mêmes composants logiciels. Les pages de maintenance en sont la manifestation la plus visible ; derrière elles, le travail consiste à rétablir un service dont la sécurité a été vérifiée.

Sur un exchange, vos cryptos dépendent d'un tiers. Avec Ledger, elles ne dépendent que de vous : les clés privées ne quittent jamais l'appareil, et chaque transaction se signe d'un geste sur votre signer. Vous seul décidez, personne d'autre.

Prendre le contrôle avec Ledger

Lien commercial