Cybersécurité : deux failles majeures exposent des millions de sites Internet à des piratages

Deux vulnérabilités informatiques particulièrement graves ont été découvertes dans PHP, un langage de programmation utilisé par une grande partie des sites Internet mondiaux. Identifiées avec l’aide de l’intelligence artificielle, ces failles pourraient permettre à des cybercriminels de prendre le contrôle de serveurs à distance. Des correctifs ont été publiés en urgence le 21 octobre 2026, tandis que plusieurs administrations et entreprises ont temporairement suspendu leurs services en ligne par précaution.

Une importante alerte de cybersécurité mobilise les professionnels du Web depuis le 20 octobre. En cause, deux failles découvertes dans PHP, un langage informatique utilisé pour faire fonctionner des millions de sites Internet. Selon les estimations de W3Techs, près de 70 % des sites dont le langage côté serveur est identifié utilisent cette technologie.

WordPress, Drupal, Joomla ou encore Magento reposent notamment sur PHP pour assurer le fonctionnement de leurs plateformes. Les vulnérabilités découvertes concernent donc potentiellement un très grand nombre de sites, qu’il s’agisse de blogs, de boutiques en ligne, de médias ou de services administratifs.

Des failles permettant de prendre le contrôle des serveurs

Baptisées PHP2Shell, les deux vulnérabilités ont été classées au niveau critique par les responsables de PHP, avec un score de gravité de 9,2 sur 10.

Référencées sous les identifiants CVE-2026-109618 et CVE-2026-109619, elles concernent des mécanismes internes de gestion de la mémoire et des données utilisées lors du traitement des requêtes.

Dans certaines conditions, leur exploitation permettrait à un pirate informatique d’exécuter du code malveillant sur un serveur sans disposer d’identifiants de connexion.

Les conséquences potentielles sont importantes : accès non autorisé à des fichiers, vol d’informations confidentielles, modification du contenu d’un site ou installation de programmes malveillants.

La particularité de ces failles réside dans leur emplacement. Elles ne concernent pas une extension WordPress ou une application spécifique, mais directement le langage PHP. Leur portée dépasse donc largement celle d’une vulnérabilité affectant un seul logiciel.

L’intelligence artificielle à l’origine des découvertes

L’identification de ces faiblesses informatiques illustre également l’évolution des méthodes utilisées en cybersécurité.

Les chercheurs de l’entreprise Wiz ont notamment mobilisé des modèles d’intelligence artificielle développés par Google pour examiner le code de PHP. Parallèlement, des travaux menés avec les technologies d’OpenAI ont permis d’identifier des problèmes similaires.

Selon les informations communiquées par les entreprises concernées, certaines de ces vulnérabilités étaient présentes dans le langage depuis plus de dix ans sans avoir été détectées dans toute leur gravité.

L’utilisation de l’intelligence artificielle a permis d’accélérer l’analyse du code et de repérer des anomalies particulièrement complexes.

Ces découvertes témoignent du potentiel de ces outils dans la prévention des cyberattaques. Elles soulèvent également de nouvelles interrogations, puisque des technologies similaires pourraient être employées par des cybercriminels pour rechercher des failles exploitables.

Des mises à jour déployées en urgence

Face à l’importance de la menace, les développeurs de PHP ont publié plusieurs versions corrigées dès le 21 octobre 2026.

Quatre mises à jour ont été mises à disposition : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Elles permettent de corriger les vulnérabilités identifiées sur les branches concernées.

Dans l’attente de ces correctifs, plusieurs autorités de cybersécurité ont recommandé aux administrateurs de limiter l’exposition des serveurs vulnérables.

En France, des sites institutionnels ont été temporairement rendus inaccessibles par mesure de précaution, notamment des services liés aux préfectures et à l’administration fiscale.

Ces interruptions ne signifient pas nécessairement que les plateformes concernées ont été piratées. Elles résultent principalement de décisions préventives destinées à éviter toute exploitation des failles avant l’installation des correctifs.

Les administrateurs de sites appelés à la vigilance

Pour les entreprises et les gestionnaires de sites Internet, la priorité consiste désormais à vérifier la version de PHP utilisée par leurs serveurs.

Contrairement aux mises à jour classiques de WordPress, les correctifs doivent être appliqués au niveau de l’environnement d’hébergement. Les administrateurs utilisant un hébergement mutualisé peuvent ainsi être amenés à solliciter leur prestataire technique.

Les professionnels recommandent également de vérifier les journaux de connexion et de surveiller toute activité inhabituelle susceptible de révéler une tentative d’intrusion.

Les sites fonctionnant avec d’anciennes versions de PHP, notamment les branches 5 et 7 qui ne bénéficient plus du support officiel, présentent une difficulté supplémentaire et nécessitent une migration vers une version maintenue.

Cet épisode rappelle enfin que la sécurité d’un site Internet ne dépend pas uniquement de son système de gestion de contenu. Les composants techniques qui assurent son fonctionnement doivent eux aussi faire l’objet d’une maintenance régulière, même lorsqu’ils restent invisibles pour les utilisateurs.