L'équipe de sécurité de PHP publie ce mercredi à 16 h, heure de Paris, des correctifs pour deux failles critiques notées 9,2 sur 10. Le langage fait tourner WordPress et une bonne partie du web, et une fuite a bousculé le calendrier prévu. En France, des millions de services PHP sont visibles sur le réseau, en grande partie à cause des Freebox, même si ça reste à relativiser.
Un préavis express
Les mainteneurs de PHP ont prévenu ce mardi 20 octobre que deux graves failles avaient été repérées dans le langage, avec un correctif promis pour le lendemain seulement. Les deux brèches, référencées CVE-2026-109618 et CVE-2026-109619, dépassent le seuil à partir duquel l'échelle CVSS parle de risque critique. L'équipe de PHP ne dit rien de leur nature pour le moment. Le patron de la société de sécurité watchTowr, Benjamin Harris, parle lui de deux failles d'exécution de code à distance, de quoi faire tourner un programme pirate sur le serveur visé. Sa société a déjà reproduit l'une des deux et leur attribue carrément la note maximale de 10.
Tout devait pourtant rester sous embargo jusqu'à jeudi. Sauf que des détails ont fuité mardi sur le forum Hacker News, dans un message depuis supprimé, accompagné d'une vidéo non authentifiée qui met en scène un outil d'exploitation baptisé PHP2Shell. Aucune attaque n'a été observée pour le moment.
Les deux tiers du web concernés
PHP est toujours le langage côté serveur le plus répandu au monde, avec 69,3 % des sites dont la technologie est connue d'après W3Techs, WordPress en tête, sans oublier Joomla, Drupal ou Magento. D'après watchTowr, toutes les versions seraient touchées depuis PHP 5, sorti en juillet 2004, alors que seules les branches encore maintenues recevront le correctif. Et les vieilles versions ont la vie dure, puisque 27 % des sites PHP tournent encore sous PHP 7 et 7,7 % sous PHP 5. Plus d'un site sur trois restera donc sans rustine officielle, à charge pour les hébergeurs d'isoler les machines impossibles à mettre à jour.
Le cas des Freebox
La société Infrawatch recense ce 21 octobre environ 11 millions de services PHP visibles sur Internet, dont 6,62 millions rien qu'en France, très loin devant tous les autres pays. Freebox OS, le système qui anime les box de Free, expose du PHP sur le réseau, et près de 2 millions de Freebox hébergeraient plusieurs instances du langage. Rien ne prouve que les box sont vulnérables, et Free garde la main pour pousser une mise à jour à distance avec un simple redémarrage. Il reste très probable que ça ne soit pas le cas, donc pas de panique.
On en dit quoi ?
Une alerte pareille sur un langage qui fait tourner les deux tiers du web, avec une journée de préavis et une fuite en prime, on a connu des semaines plus tranquilles. Chrome et Firefox viennent d'ailleurs de révoquer en urgence des certificats d'une autorité dont une clé privée se résumait au chiffre 4. Si vous gérez un site en PHP, préparez la mise à jour dès maintenant. Pour les vieux serveurs que personne ne touche jamais, ces deux failles vont traîner pendant des années.
