Cybersécurité : PHP2Shell déclenche une alerte mondiale après des millions de tentatives d’attaque
Deux vulnérabilités critiques affectant PHP, une technologie largement utilisée pour faire fonctionner les sites Internet, ont déclenché une alerte dans le secteur de la cybersécurité. Après leur divulgation le 21 octobre 2026, plusieurs millions de tentatives d’exploitation auraient été détectées en quelques heures. L’incident met en lumière les risques auxquels sont exposés les serveurs non corrigés, y compris ceux qui hébergent des sites d’entreprises, de médias et d’institutions publiques.
aptisées « PHP2Shell », les deux failles référencées CVE-2026-109618 et CVE-2026-109619 affecteraient le moteur PHP lui-même, et non uniquement des extensions ou des applications construites avec cette technologie. Selon les informations rapportées par plusieurs acteurs du secteur, elles pourraient, dans certaines configurations, entraîner une interruption de service, exposer des données en mémoire ou permettre l’exécution de commandes à distance. La gravité du risque dépend toutefois de la version installée et des conditions d’exploitation. PHP étant utilisé par de nombreux systèmes de gestion de contenu, notamment WordPress, Drupal et Joomla, les conséquences potentielles dépassent le cercle des développeurs.
La réaction des acteurs malveillants aurait été particulièrement rapide. D’après les données attribuées à Cloudflare, les tentatives d’exploitation seraient passées de quelques milliers à plusieurs millions en quelques heures après la divulgation publique. Amazon Web Services aurait également détecté une tentative remontant au 17 octobre, soit avant l’annonce officielle du 21 octobre. Si ces observations se confirment, elles illustrent la capacité des cybercriminels à rechercher rapidement les serveurs vulnérables, parfois avant même que leurs administrateurs aient eu le temps d’appliquer les correctifs.
Face à cette menace, certaines organisations auraient temporairement interrompu des services en ligne pour sécuriser leurs infrastructures. Des mesures d’urgence ont également été signalées en Corée du Sud le 22 octobre. Ces interruptions préventives ne signifient pas nécessairement que les systèmes concernés ont été compromis : elles peuvent viser à limiter l’exposition pendant les opérations de vérification et de mise à jour. L’enjeu consiste à réduire le temps pendant lequel un serveur reste vulnérable, sans négliger la continuité des services essentiels.
Pour les administrateurs de sites, la distinction entre PHP et WordPress est déterminante. Une mise à jour du thème ou des extensions ne suffit pas si la version de PHP exécutée sur le serveur reste vulnérable. Les développeurs de PHP auraient publié des versions correctives le 21 octobre, notamment pour plusieurs branches de maintenance. Les numéros de versions mentionnés dans les avis de sécurité doivent néanmoins être vérifiés auprès des sources officielles avant toute intervention. Les protections proposées par les pare-feu applicatifs peuvent réduire certains risques, mais elles ne remplacent pas l’installation d’une version corrigée.
L’utilisation de l’intelligence artificielle dans les travaux de recherche associés à cette affaire souligne une autre dimension de la cybersécurité. Selon les chercheurs de Wiz, des modèles avancés ont contribué à analyser le fonctionnement interne de PHP et à identifier des scénarios d’exploitation. Ces outils peuvent accélérer la découverte de failles, mais les connaissances publiées peuvent aussi être exploitées par des attaquants pour automatiser leurs recherches. Pour les organisations, la réponse repose donc sur une surveillance régulière, une gestion rigoureuse des mises à jour, des sauvegardes fiables et des procédures permettant de réagir rapidement aux alertes.
En République démocratique du Congo comme ailleurs, les sites de médias, d’entreprises, d’universités, d’ONG et d’administrations peuvent être concernés si leurs serveurs utilisent une version vulnérable de PHP. La localisation du serveur ne constitue pas une protection contre les campagnes automatisées. Les responsables techniques sont invités à vérifier leur environnement auprès de leur hébergeur, à appliquer les correctifs adaptés et à examiner les journaux de connexion pour repérer d’éventuelles activités suspectes. PHP2Shell rappelle ainsi qu’en matière de cybersécurité, la publication d’un correctif ne suffit pas : la protection dépend aussi de la rapidité avec laquelle il est déployé et de la capacité à détecter une éventuelle compromission.