Failles PHP : les autorités conseillent la mise hors ligne

Par Alec Chizhik · 22 octobre 2026 · 14 min de lecture

Mercredi, administrations, hôpitaux, universités et gouvernements européens ont mis leurs sites hors ligne par précaution. Deux failles critiques de PHP peuvent permettre l’exécution de code sans authentification. Plusieurs autorités ont conseillé la mise hors ligne faute de mise à jour immédiate. Des plateformes de développement ont aussi signalé des attaques contre les identifiants clients.

L’essentiel en bref

Plusieurs autorités de cybersécurité ont conseillé la mise hors ligne. La CISA, l’agence américaine de cybersécurité et de sécurité des infrastructures, et le CERT-EU, le service de cybersécurité des institutions européennes, ont recommandé de déconnecter les systèmes PHP si une mise à jour immédiate était impossible.
Les erreurs étaient présentes dans le code depuis plus de dix ans. Selon Wiz Research, des modèles d’IA de pointe ont aidé à les découvrir et à les rendre exploitables.
Des plateformes de développement ont signalé des intrusions. Chez Zeabur, les données de 321 810 comptes ont été dérobées ; Railway a recommandé à tous ses utilisateurs de renouveler les clés qu’ils y avaient stockées.

Des sites arrêtés par précaution

Un correctif pour deux failles critiques de PHP était annoncé mercredi à 16 heures, heure allemande. Le BSI, l’Office fédéral allemand de la sécurité des technologies de l’information, a demandé de l’installer immédiatement à cette heure. CERT.at, le centre autrichien de réponse aux incidents informatiques, a conseillé de recenser les systèmes PHP et de prévoir un créneau de mise à jour à 16 heures.

69,3 pour cent

Selon W3Techs, PHP est utilisé par 69,3 pour cent des sites dont le langage de programmation côté serveur est connu. Source

À Berlin, les sites de l’Institut Robert Koch, du BND (service fédéral de renseignement extérieur), du BKA (Office fédéral de police criminelle), des douanes et de la police fédérale ont été temporairement déconnectés. Dans le Brandebourg, ceux de l’hôpital Ernst von Bergmann, de l’université de Potsdam et du commissariat en ligne étaient notamment indisponibles. Certains portails étaient de nouveau accessibles après 17 heures. Un porte-parole du ministère fédéral du Numérique a déclaré que l’ITZBund, le centre fédéral de services informatiques, avait mis plusieurs sites hors ligne par précaution. Aucun incident de sécurité n’était connu.

En Rhénanie-du-Nord-Westphalie, les sites de nombreux hôpitaux étaient inaccessibles, notamment à Cologne, Bonn, Düsseldorf et Bielefeld. À l’Office régional des services centraux de police, des services comme le dépôt de plainte en ligne ont été interrompus pendant plusieurs heures. Tous les organismes concernés ont souligné le caractère préventif de la mesure.

L’université de Vienne a arrêté ses services informatiques centraux, puis les a rétablis progressivement après la mise à jour. Le NCSC néerlandais, le Centre national de cybersécurité, a déconnecté son propre site. Selon Reuters, le port de Rotterdam, le portail gouvernemental Overheid.nl et de nombreux hôpitaux ont suivi. En France, les sites des préfectures ont été mis hors ligne ; en Finlande, les services web publics du gouvernement. Le gouvernement tchèque a suivi à 19 heures, heure locale. La Wikimedia Foundation a volontairement déconnecté des services comme Toolforge et Cloud VPS. Au Japon, la Première ministre Sanae Takaichi a qualifié la désactivation temporaire de fonctions des sites web de moyen efficace de réduire le risque.

Qu’est-ce que l’exécution de code à distance ? L’exécution de code à distance désigne une vulnérabilité permettant à un attaquant d’exécuter son propre code sur un système distant. Si aucune authentification n’est requise, l’accès au service concerné suffit. Dans le cas de PHP2Shell, toutes les installations PHP traitant des requêtes web sont concernées.

La mise hors ligne officiellement recommandée

La CISA a conseillé d’appliquer immédiatement les correctifs aux systèmes PHP. Avec la NSA, l’Agence nationale de sécurité américaine, et le FBI, le Bureau fédéral d’enquête, elle a préconisé de mettre hors ligne les systèmes impossibles à sécuriser rapidement. Le CERT-EU a recommandé d’isoler du réseau public les applications accessibles jusqu’à l’installation et à la vérification du correctif. Le NCSC britannique a demandé d’agir immédiatement et de passer à des versions prises en charge. Le BACS suisse, l’Office fédéral de la cybersécurité, a attiré l’attention sur les applications et appareils utilisant PHP comme composant.

Fait	Source
La NSA, le FBI et la CISA ont conjointement demandé aux organisations de corriger les deux failles et préconisé de mettre hors ligne les systèmes impossibles à sécuriser rapidement.	Source
Si une correction immédiate est impossible, le CERT-EU conseille d’isoler du réseau public les applications accessibles depuis Internet jusqu’à l’installation et à la vérification du correctif.	Source
CERT.at a recommandé de recenser les systèmes utilisant PHP, de prévoir un créneau de mise à jour à 16 heures et, si possible, d’envisager leur arrêt.	Source
Le NCSC britannique a demandé aux organisations d’agir immédiatement ; toutes les versions de PHP sont concernées. Les utilisateurs de versions anciennes doivent passer à une version prise en charge.	Source
L’Office fédéral suisse de la cybersécurité BACS conseille de mettre immédiatement à jour les systèmes concernés et de vérifier, outre les serveurs web, les applications et appareils utilisant PHP comme composant.	Source

PHP équipe 69,3 pour cent des sites dont le langage de programmation côté serveur est connu. Toutes les installations PHP traitant des requêtes web sont concernées. PHP 8.1 et les versions antérieures ne reçoivent aucune version corrective officielle. Pour les versions 7.4, 8.0 et 8.1, l’équipe de sécurité PHP a fourni des rétroportages minimaux du code source, c’est-à-dire des corrections transposées sous forme de code source dans d’anciennes branches. Certaines distributions et certains fournisseurs de support à long terme livrent aussi des paquets corrigés.

Les détails avaient fuité mardi, avant la publication coordonnée. Selon watchTowr, l’embargo, le délai convenu avant publication, devait courir jusqu’à jeudi. La CISA a déclaré n’avoir observé aucune exploitation avant la publication.

Des erreurs anciennes et des outils d’IA

Le duo de failles a été surnommé PHP2Shell, en référence à Log4Shell. Wiz.io et Calif.io l’ont découvert avec la participation d’OpenAI. Selon Wiz Research, des modèles d’IA de pointe, les systèmes les plus performants du moment, ont aidé à découvrir les failles et à les rendre exploitables. Les erreurs étaient ainsi présentes dans le code depuis plus de dix ans, et les versions concernées remontent à PHP 5.4. Sans IA, Wiz estime que la chaîne d’attaque aurait été à la limite de ce que des chercheurs humains peuvent réaliser en pratique.

Le même jour, GitLab a corrigé une faille dans la compilation des expressions régulières, des motifs de recherche textuelle. Elle affiche un score CVSS, le système commun d’évaluation des vulnérabilités, de 10,0 et permet, sous certaines conditions, à des attaquants non authentifiés d’exécuter du code sur le serveur. Toutes les versions à partir de la 7.0 sont concernées. La version 7.0 étant sortie en juin 2014, la faille remonte à douze ans. Node.js a publié des mises à jour pour les branches 22.x, 24.x et 26.x, notamment contre une exécution de code à distance dans le décodeur Brotli pour les données compressées.

Attaques contre les plateformes de développement

La version 1.107.0 de LiteLLM, bibliothèque de passerelle IA, était compromise. Tous les fichiers Wheel sur PyPI, les paquets d’installation prêts à l’emploi du répertoire de paquets Python, contenaient un voleur d’identifiants. Ce programme s’exécutait à chaque démarrage de l’interpréteur Python et collectait notamment des clés SSH (protocole de connexion sécurisée à distance), des identifiants cloud pour AWS, Azure et Google Cloud, ainsi que des jetons Kubernetes. LiteLLM a confirmé que l’incident était maîtrisé. Les versions 1.82.7 et 1.82.8 avaient déjà été compromises en mars 2026.

Fait	Source
La version 1.107.0 de LiteLLM, bibliothèque de passerelle IA, était compromise : tous les fichiers Wheel sur PyPI contenaient un voleur d’identifiants et un chargeur de code tiers, exécutés automatiquement à chaque démarrage de l’interpréteur Python, sans importation de LiteLLM. Les tags Docker latest, main-latest et main-stable étaient également concernés.	Source
La plateforme d’hébergement Railway a signalé qu’une personne non autorisée avait potentiellement accédé aux variables d’environnement chiffrées de clients et déchiffré une partie d’entre elles. Railway a suspendu tous les déploiements et recommandé à tous ses utilisateurs de renouveler l’ensemble des variables d’environnement, des clés API (interfaces de programmation d’applications) et des identifiants de registres qui y étaient stockés.	Source
Zeabur a annoncé sa fermeture sur son blog, évoquant un deuxième incident de sécurité ; les premiers services s’arrêteront le 1er décembre 2026, tous les serveurs dédiés et clusters partagés d’ici au 31 décembre 2026.	Source
Selon PingCAP, les données copiées contenaient notamment des noms d’utilisateur, adresses e-mail, données contractuelles et tarifaires, ainsi qu’une table de clés API chiffrées pour TiDB Cloud ; PingCAP n’a pas confirmé les affirmations des attaquants concernant d’autres identifiants.	Source

Sur la plateforme d’hébergement Railway, une personne non autorisée aurait accédé aux variables d’environnement chiffrées de clients et déchiffré une partie d’entre elles, selon l’entreprise. Les variables d’environnement sont des paramètres de configuration transmis par une plateforme aux applications. Railway a suspendu tous les déploiements et recommandé à tous ses utilisateurs de renouveler l’ensemble des variables, clés API et identifiants de registres qui y étaient stockés. L’entreprise rattache cet incident à une série d’attaques contre des entreprises de plateformes visant les fournisseurs d’inférence IA.

La plateforme Zeabur avait confirmé dès le 17 octobre son deuxième incident de sécurité en deux mois. Un attaquant a utilisé des identifiants internes stockés en clair pour dérober les données de 321 810 comptes et environ 3,2 millions d’enregistrements contenant des variables d’environnement. Les jetons d’administration n’avaient pas été renouvelés depuis janvier 2024. La plateforme fermera d’ici fin décembre 2026. Chez PingCAP, une personne non autorisée a accédé aux systèmes internes entre le 9 septembre et le 7 octobre 2026 à l’aide d’identifiants de comptes de service volés et a notamment copié des clés API chiffrées pour TiDB Cloud.

Trois précautions avant la prochaine faille critique

Au moment de l’alerte du BSI, aucune exploitation confirmée de PHP2Shell n’était connue, mais des signalements non confirmés faisaient état d’exploits existants. Avant la prochaine faille de ce type, les responsables informatiques peuvent préparer trois mesures.

– Inventorier PHP au-delà du serveur web. Le BACS a conseillé de vérifier aussi les applications et appareils utilisant PHP comme composant. Une liste à jour de ces systèmes accélère leur identification en cas d’urgence. – Prévoir un fonctionnement dégradé pour les sites et portails. Mercredi, le dépôt de plainte en ligne de la police de Rhénanie-du-Nord-Westphalie est resté indisponible plusieurs heures, tandis que le commissariat en ligne du Brandebourg et de nombreux sites hospitaliers étaient inaccessibles. Durant la mise hors ligne, le NCSC néerlandais renvoyait vers advisories.ncsc.nl et LinkedIn. Ces solutions de repli pour les citoyens et les clients doivent être définies avant l’alerte. – Limiter la durée de validité des secrets. Railway a recommandé à tous ses utilisateurs de renouveler leurs clés stockées. Chez Zeabur, les jetons d’administration n’expiraient jamais et étaient inchangés depuis janvier 2024. Des durées de validité courtes et un renouvellement régulier limitent les dégâts lorsqu’un fournisseur de plateforme perd des données. Les mots de passe volés ou devinés figurent aussi parmi les portes d’entrée du groupe de Ransomware SafePay, contre lequel le FBI, la CISA et le LKA de Rhénanie-Palatinat, l’Office régional de police criminelle, ont lancé mardi une alerte conjointe.

Questions fréquentes

Chaque question est fermée. Touchez-la pour afficher la réponse.

Quelles versions de PHP corrigent PHP2Shell ?

Le projet PHP a publié le 21 octobre 2026 les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Elles corrigent les vulnérabilités CVE-2026-109618 et CVE-2026-109619.

Quelles versions de GitLab sont sécurisées ?

Les versions corrigées sont 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. GitLab.com est déjà corrigé ; les installations autohébergées doivent être mises à jour immédiatement.

Quels artefacts LiteLLM étaient compromis ?

Outre les fichiers Wheel de la version 1.107.0 sur PyPI, les tags Docker latest, main-latest et main-stable étaient concernés. Le paquet 1.107.0 a été retiré de PyPI et l’image Docker v1.107.0 supprimée. Les tags latest, main-latest et main-stable pointent de nouveau vers des images sûres.

Sélection de la rédaction

Source de l’image : générée par IA (octobre 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.