Pourquoi les failles PHP sont-elles si graves ?
OpenAI a qualifié cette découverte de « l’un des problèmes de sécurité les plus impactants de ces dernières années ». Les chercheurs de la société de sécurité Wiz, propriété de Google, qui ont découvert ces failles, ont affirmé qu’elles se classaient « parmi les vulnérabilités les plus graves jamais trouvées dans PHP, et même dans l’histoire du logiciel ».
Que s’est-il réellement passé et pourquoi cette affaire revêt-elle une telle importance ?
Anthony Cuthbertson – 22 octobre 2026 – 15h00
L’exploit PHP expose la vulnérabilité du web
Le développement accéléré de l’intelligence artificielle laisse penser que des incidents majeurs de ce type seront plus fréquents. S’ils sont difficiles à anticiper, il est possible d’en limiter les dégâts si l’on comprend le problème et si l’on est prêt à agir immédiatement.
Des experts en sécurité ont averti que les organisations doivent évaluer leurs systèmes informatiques en urgence pour éviter une nouvelle crise de ce type.
JP Buckley, associé au sein de l’équipe données, vie privée et cybersécurité du cabinet d’avocats Lewis Silkin, a déclaré au journal The Independent : « La grande leçon à retenir est de constater à quel point notre écosystème numérique est interconnecté mais aussi vulnérable. Une seule faille peut se propager chez les fournisseurs, les services publics et les personnes qui en dépendent.
Les entreprises doivent comprendre les logiciels et les prestataires dont elles dépendent, et donc savoir où se trouvent leurs vulnérabilités, et agir immédiatement pour les évaluer lorsqu’elles apparaissent. Cela aide à déterminer qui est légalement responsable d’agir quand un problème survient. Ces discussions doivent avoir lieu avant que la prochaine faille critique ne frappe, et non pendant que les organisations se démènent pour réagir. »
Anthony Cuthbertson – 22 octobre 2026 – 13h57
Quels autres gouvernements ont été touchés ?
Le Royaume-Uni n’est pas le seul pays à subir ce chaos lié à PHP. Voici la liste des pays européens qui ont signalé des incidents sur leur infrastructure informatique :
Belgique – Le ministère des Affaires étrangères a préventivement mis ses sites web hors ligne.
République tchèque – L’autorité nationale de cybersécurité a déconnecté le site web du gouvernement tchèque pour « permettre l’application des correctifs de sécurité nécessaires ».
Finlande – Les services web publics du gouvernement ont été déconnectés mercredi par le centre informatique d’État Valtori.
France – Les sites web des préfectures locales ont été mis hors ligne par précaution pendant l’installation des mises à jour.
Allemagne – Le prestataire de services informatiques fédéral ITZBund a temporairement déconnecté des sites web.
Pays-Bas – Le site gouvernemental Overheid.nl, la fédération nationale de football KNVB, le Port de Rotterdam et les cinq principaux partis politiques ont tous mis leurs sites hors ligne.
Anthony Cuthbertson – 22 octobre 2026 – 13h37
Trente-deux services gouvernementaux sont hors ligne, selon un ministre
Un porte-parole du Premier ministre britannique a déclaré : « Des travaux ont déjà été menés au sein du gouvernement pour identifier et corriger les expositions potentielles de nos systèmes, et nos experts continuent de travailler en étroite collaboration avec OpenAI et des partenaires internationaux sur cette question.
« Aucun grand service critique accessible au public n’est affecté par cette opération, mais certains services limités peuvent être temporairement indisponibles pendant la réalisation des travaux de sécurité. Cela ne signifie pas qu’ils ont été piratés, et le travail se poursuit pour résoudre tous les problèmes. »
Anthony Cuthbertson – 22 octobre 2026 – 12h41
Des « millions » de tentatives de piratage
Une entreprise de cybersécurité de premier plan a révélé que des pirates informatiques effectuaient des « millions » de tentatives pour exploiter la faille de sécurité PHP.
Cloudflare, utilisé par des millions de sites web pour se protéger contre les cyberattaques, a pu observer en temps réel les tentatives d’exploitation de la faille PHP2Shell.
Le PDG de Cloudflare, Matthew Prince, déclare : « Au cours des 10 heures précédant son annonce publique, à travers le réseau Cloudflare, nous avons observé des milliers de tentatives d’exploitation. Ce nombre est passé à des dizaines de milliers dans les 45 minutes suivant l’annonce, puis à des centaines de milliers dans les 2 heures, et atteint désormais des millions. »
Anthony Cuthbertson – 22 octobre 2026 – 12h01
Pourquoi il n’est pas nécessaire de changer vos mots de passe
Comme lors de toute cyberattaque majeure, les utilisateurs se demandent s’ils doivent changer leurs mots de passe en ligne pour protéger leurs comptes. Contrairement à d’autres cyberattaques, celle-ci est beaucoup plus étendue qu’un seul site web ou une seule entreprise.
Près de 70 % des sites web dans le monde sont concernés. Modifier tous les mots de passe représenterait donc une tâche colossale, mais l’internaute moyen ne doit pas s’inquiéter pour l’instant. Cette faille de sécurité est une vulnérabilité côté serveur, si bien que changer de mot de passe est inutile pour l’utilisateur moyen. Même pour les administrateurs de sites, la priorité actuelle est d’appliquer le correctif de sécurité officiel de PHP, car l’exploit contourne les écrans de connexion.
Cela dit, il reste toujours conseillé de mettre à jour régulièrement ses mots de passe et d’utiliser l’authentification à plusieurs facteurs.
Anthony Cuthbertson – 22 octobre 2026 – 11h33
Que se passe-t-il si la faille PHP est exploitée ?
La vulnérabilité découverte dans le langage de programmation PHP, appelée PHP2Shell, est bien plus dangereuse qu’un bug informatique typique.
Comme la faille se situe au cœur du langage PHP et non dans un site web ou une application spécifique, un attaquant pourrait potentiellement contourner toutes les mesures d’authentification comme les écrans de connexion. Avec un accès complet à un serveur web, un pirate pourrait installer des logiciels malveillants, mener une attaque par rançongiciel, défigurer des sites web, voler des données privées, ou même détruire entièrement une plateforme de l’intérieur.
C’est la menace qu’elle représente à la fois pour les opérateurs de sites web et les internautes ordinaires qui a poussé certaines organisations à prendre la mesure extrême de déconnecter leurs sites pour empêcher les cyberattaques.
Anthony Cuthbertson – 22 octobre 2026 – 11h21
Mettre un site web hors ligne est « bien moins coûteux »
Déconnecter un site web ou un service, même pour quelques heures, peut être très préjudiciable pour les organisations, mais cela reste souvent préférable à l’alternative.
Samuel Hassine, PDG et co-fondateur de la société de cybersécurité Filigran, explique au Independent : « Mettre un site web hors ligne pendant une journée est une décision bien moins coûteuse que de devoir expliquer une violation de données pendant un an.
Les agences qui demandent aux organisations de faire exactement cela donnent un conseil sensé, et la rapidité de la réponse coordonnée montre à quel point cette discipline a mûri. Ces failles se cachaient dans du code qui remonte à 2004 et ont été découvertes grâce à l’IA. Les mêmes outils aideront les attaquants à agir tout aussi vite, et des attaques précoces sont déjà signalées. »
Anthony Cuthbertson – 22 octobre 2026 – 10h32
La faille PHP a-t-elle été exploitée ?
Bien que de nombreuses mesures préventives aient été prises pour se protéger contre cette vulnérabilité, rien ne prouve pour l’instant qu’elle ait effectivement été exploitée par des pirates à une échelle significative.
Cette faille de sécurité remonte en réalité à 2004, mais elle était passée inaperçue jusqu’à ce que des agents d’IA la découvrent.
Les attaquants utilisent désormais d’autres outils d’IA pour tenter d’exploiter les systèmes vulnérables, et les analystes en sécurité ont déjà trouvé des preuves de certaines exploitations en circulation.
Amazon Web Services (AWS) a signalé des tentatives précoces d’exploitation dès le 17 octobre, avant l’annonce de tout correctif, mais aucune grande organisation n’a révélé si ses systèmes avaient effectivement été compromis.
Anthony Cuthbertson – 22 octobre 2026 – 10h10