Tout le web est en alerte depuis hier, après la confirmation de deux failles critiques sur le langage de programmation PHP, par l’organisation qui propose celui-ci. Les failles sont graves. Mais le plus préoccupant est que PHP est l’une des technologies côté serveur dont dépendent presque tous les sites web. Le développeur de PHP a indiqué les niveaux de sévérité de ces deux failles, mais n’a pas encore publié les détails techniques.
Ceux-ci devraient être partagés aujourd’hui, en même temps qu’un correctif urgent. “Nous invitons tous les utilisateurs de PHP à se préparer dès maintenant afin de pouvoir effectuer la mise à jour dès que la version sera disponible”, indique le développeur. De son côté, CERT-EU, le service de cybersécurité de l’Union européenne, recommande aussi d’appliquer les correctifs de PHP dès qu’ils sont disponibles. Mais celui-ci recommande également aux organisations d’isoler provisoirement les sites web si une solution immédiate au problème ne peut être trouvée. En d’autres termes, certains sites pourraient momentanément disparaître pour suivre ces consignes.
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
— The PHP Foundation (@ThePHPF) October 20, 2026
Des attaques sont déjà évoquées
Et, malheureusement, il semblerait que des personnes mal intentionnées tentent déjà d’exploiter ces failles, alors que le correctif de PHP n’est pas encore disponible. “Nous constatons l’émergence de premières attaques et mettons à jour nos mesures d’atténuation à mesure que de nouveaux vecteurs apparaissent”, écrit, en effet, le directeur technique de la société Cloudflare, dans une publication sur le réseau social X.
PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.
We are seeing early attacks emerging and are updating mitigations as new vectors show… https://t.co/wMz9tDTWwH
— Dane Knecht 🦭 (@dok2001) October 21, 2026
Pour rappel, Cloudflare est l’un des piliers d’internet et fournit des solutions de cloud computing aux sites web. Et, d’après son directeur technique, même si Cloudflare a mis en place des mesures de protection, celles-ci sont provisoires. Et le correctif doit quand même être appliqué lorsqu’il sortira.
En tout cas, ces failles ont mis en alerte les agences de cybersécurité du monde entier. Par exemple, comme les services de l’UE, le National Cyber Security Centre du Royaume-Uni conseille aussi aux organisations de mettre à jour immédiatement pour se protéger des failles critiques de PHP. Et, comme le CERT-UE, cette agence estime qu’il faudrait temporairement déconnecter les sites web qui ne peuvent pas encore être mis à jour.
The NCSC is encouraging UK organisations to prepare for immediate updating of systems using PHP. Where immediate remediation is not feasible, organisations should consider taking the system offline until it can be fully mitigated.
For more⬇️ https://t.co/l6TDtVurJN
— NCSC UK (@NCSC) October 21, 2026