Une alerte sérieuse pour des milliers de sites. Près de 237 000 serveurs web seraient potentiellement menacés par une faille dans PHP, le langage qui fait tourner une grande partie des sites internet, dont WordPress. Et un pirate vient de mettre en ligne un programme qui permet de l’exploiter.
PHP2Shell, une faille critique
Il s’agit de deux vulnérabilités critiques, surnommées « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619). Elles permettent à un attaquant d’exécuter du code à distance, sans identifiant. Le 25 octobre, un utilisateur surnommé « Redwire » a publié sur un forum de pirates un outil capable de repérer les sites vulnérables, d’en prendre le contrôle et d’y installer une porte dérobée, un accès caché qui permet de revenir plus tard. Selon un outil de surveillance, 236 908 serveurs sur 2,59 millions analysés seraient concernés.
Que faire si vous avez un site ?
- Vérifiez votre version de PHP chez votre hébergeur
- Passez aux versions corrigées : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou plus récentes)
- Les versions 8.1 et antérieures ne sont plus corrigées : l’agence américaine CISA recommande de mettre ces sites hors ligne
- Vérifiez l’absence de fichiers inconnus sur votre serveur
Les correctifs sont disponibles depuis le 21 octobre. Des millions de tentatives d’attaque ont déjà été enregistrées, dont des dizaines de milliers contre des sites WordPress.
L’avis de Minute Actu
Une faille corrigée en quelques jours, c’est la bonne nouvelle. La mauvaise, c’est que des centaines de milliers de sites ne sont jamais mis à jour. Si vous avez un site, ne remettez pas la mise à jour à la semaine prochaine : les pirates, eux, n’attendent pas.
3 points à retenir
- Près de 237 000 serveurs web seraient potentiellement exposés à la faille PHP2Shell.
- Un pirate a publié un outil qui prend le contrôle des sites et installe une porte dérobée.
- Correctifs disponibles depuis le 21 octobre : passer à PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
Le Top 5 de la semaine
Les 5 infos qui ont marqué la semaine, expliquées en 2 minutes. Un e-mail par semaine, pas plus.
Réagir