Deux failles de sécurité critiques découvertes dans PHP, un langage informatique utilisé par une grande partie des sites web, déclenchent une alerte mondiale. Depuis le 21 octobre 2026, plusieurs organisations ont suspendu temporairement certains de leurs services en ligne par mesure de précaution.
Dans un article publié le même jour, le média indique que certaines fonctionnalités avaient été désactivées par mesure de précaution.
Baptisées « PHP2Shell », les deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, pourraient permettre à des pirates d’exécuter du code à distance sur des serveurs vulnérables, voire d’accéder à des données sensibles. Les failles ont été identifiées avec l’aide d’outils d’intelligence artificielle par des chercheurs en cybersécurité.
Le risque est important, car PHP est utilisé notamment par WordPress, Drupal et Joomla. Selon l’entreprise de cybersécurité Wiz, ce langage intervient dans le fonctionnement d’environ 70 % des sites web dans le monde. Plusieurs organismes publics et entreprises ont ainsi mis certains services hors ligne afin de sécuriser leurs infrastructures.
Face à la menace, les développeurs de PHP ont publié des correctifs de sécurité le 21 octobre. Les administrateurs de sites sont invités à mettre à jour leurs installations vers des versions corrigées. Une simple mise à jour de WordPress ou de ses extensions ne suffit pas si la faille se trouve dans l’environnement PHP lui-même.
Pour les propriétaires de sites web, l’urgence est donc de vérifier la version de PHP utilisée auprès de leur hébergeur ou de leur administrateur technique, puis de s’assurer que les correctifs ont été appliqués. À défaut de protection immédiate, les recommandations de sécurité prévoient d’envisager une mise hors ligne temporaire des systèmes vulnérables.
