Ce mercredi 21 octobre, vers 12 h 30, le site de la CNIL est passé en maintenance, a constaté Next. Le gendarme français des données personnelles a coupé son site par précaution, en attendant le correctif que PHP doit publier à 16 heures.
PHP fait tourner une grande partie du Web, et ses deux failles permettent de prendre le contrôle d’un serveur à distance, comme nous l’expliquions lors de l’annonce. Plusieurs administrations et grandes plateformes ont fait le même choix. Pour les internautes, ça veut dire plusieurs heures sans accès à des services publics ou à des sites très fréquentés.
Aux Pays-Bas, la Tweede Kamer, la chambre basse du Parlement, a mis son site hors ligne par précaution, a confirmé un porte-parole. D’après la NOS, l’audiovisuel public néerlandais, la coupure touche aussi MijnOverheid.nl, le portail où les citoyens reçoivent leur courrier administratif. Même chose pour DigiD, l’identifiant qui sert à se connecter aux services de l’État, un peu comme FranceConnect chez nous. Des services publics finlandais ont pris la même décision.
Plusieurs grandes plateformes privées ont suivi. 4chan, le célèbre forum anonyme, se dit « temporairement en lecture seule en attendant une mise à jour de sécurité urgente de PHP ». DeviantArt, la plateforme de partage d’illustrations, a annoncé sa maintenance dans un message publié sur X, et le site Dev-Null a fait de même.
L’équipe d’OBS, le logiciel libre de streaming et d’enregistrement vidéo, a aussi prévenu sur X que « certaines parties » de son site seraient indisponibles en attendant la publication des détails de la faille. Elle précise que le streaming via les comptes connectés ne devrait pas être touché.
Le CERT-EU conseille lui-même de couper
Mardi 20 octobre, l’équipe de PHP a annoncé deux failles critiques et un correctif pour ce mercredi. Elles sont référencées CVE-2026-109618 et CVE-2026-109619 et notées 9,2 sur 10 en gravité.
Le même jour, le CERT-EU, le service de cybersécurité des institutions européennes, a publié une fiche sur ces failles. Il y conseille aux organisations qui ne peuvent pas corriger tout de suite d’isoler leurs applications connectées à Internet jusqu’à la mise à jour.
Pourtant, la page « maintenance » intégrée à WordPress ou Magento ne suffit pas. PHP lit chaque requête avant même que l’application vérifie si elle est en maintenance. Il faut donc arrêter PHP sur le serveur et afficher une page statique à la place, ce qui revient à fermer le site.
Des attaques déjà en cours ?
Cloudflare, dont le réseau filtre le trafic de nombreux sites, dit en voir les premières. Dane Knecht, son directeur technique, a écrit sur X que l’entreprise observe « des attaques qui commencent à émerger ». Cloudflare a déployé des règles de pare-feu contre les méthodes d’attaque déjà connues, y compris pour ses clients gratuits. Par contre, Dane Knecht présente ces règles comme une solution temporaire. De son côté, watchTowr, une société de cybersécurité qui dit avoir reproduit l’une des failles, confirme qu’elles sont bien réelles. Elle garde pourtant les détails jusqu’à 16 heures, pour que les pirates ne prennent pas de vitesse les administrateurs.
Des preuves d’exploitation circulent aussi sur les réseaux sociaux, mais personne ne les a confirmées à l’heure où l’on écrit. Aux Pays-Bas, le NCSC, l’agence nationale de cybersécurité, n’avait encore constaté aucun abus ce mercredi. Si une exploitation se confirme, PHP s’est réservé le droit de publier les détails et le correctif plus tôt que prévu.
Node.js, l’outil qui fait tourner du JavaScript sur les serveurs web, publie lui aussi des correctifs de sécurité ce mercredi, pour ses versions 22, 24 et 26. Aucun lien n’a été établi entre les deux alertes. Node.js avait programmé ces mises à jour dès la semaine dernière, et sa faille la plus grave est classée « élevée », un cran sous « critique ».
Le correctif de PHP est attendu à 16 heures, heure de Paris, avec le détail des deux failles et la liste des versions touchées. Les abonnés Free peuvent déjà souffler, leur Freebox n’est pas concernée.
Si vous voulez recevoir les meilleures actus Frandroid sur WhatsApp, rejoignez cette discussion.
Pour nous soutenir gratuitement, dites simplement à Google d’ajouter Frandroid à vos sources préférées en cliquant ici.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.