Tech: failles critiques PHP, de nombreux sites mis hors ligne

Une alerte de cybersécurité d’envergure mondiale a touché le web le 21 octobre 2026 en raison de la découverte de deux failles critiques dans le langage PHP. Des milliers de sites étaient inaccessibles en France et dans toute l’Europe, une faille de sécurité repérée grâce à l’intelligence artificielle.

La menace identifiée, l’agence américaine de renseignement NSA et le Centre national britannique de cybersécurité (NCSC) avaient recommandé à tous les sites utilisant le protocole de programmation PHP de se déconnecter avant d’avoir mis à jour le logiciel.

De nombreux sites internet, services publics, universités et entreprises à travers le monde ont été mis hors ligne par précaution ou affichent des pages de maintenance. En Europe, de très nombreuses plateformes ont été suspendues, notamment celles de toutes les préfectures en France, à la demande de l’Agence de sécurité des systèmes informatiques (Anssi).

Deux vulnérabilités critiques (référencées notamment sous les codes CVE-2026-109618 et CVE-2026-109619, parfois surnommées « PHP2Shell ») ont été identifiées. Ces failles permettent à un attaquant de prendre le contrôle d’un serveur à distance, sans aucun identifiant ni mot de passe, simplement en ciblant une application ou un site propulsé par une version vulnérable de PHP. Il faut noter que PHP fait fonctionner une écrasante majorité du web mondial (environ 70 % des sites dont le langage serveur est identifié, incluant WordPress, Joomla, Drupal, Magento, Laravel, etc.