Une vulnérabilité critique (notée 9,2/10) vient d’être identifiée au cœur de PHP, le langage qui propulse une grande partie du Web mondial, des sites d’entreprises aux plateformes WordPress. Permettant l’exécution de code à distance, cette faille a contraint l’ANSSI à recommander la mise hors ligne immédiate des serveurs exposés, coupant préventivement l’accès à des centaines de sites publics et d’entreprises.
S’agit-il de l’une des failles les plus marquantes de 2026 ?
Tribune Kaspersky – Sergey Lozhkin, responsable du centre de recherche pour les régions APAC et META chez Kaspersky GReAT, apporte son éclairage :
Un incident de cybersécurité majeur vient d’émerger : une vulnérabilité critique a été identifiée dans PHP, un langage de programmation côté serveur très largement utilisé qui alimente des sites web, des applications web, des systèmes de gestion de contenu comme WordPress, ainsi que de nombreux services backend sur Internet. Étant donné le rôle de PHP dans le fonctionnement de millions de serveurs web à travers le monde, cela pourrait s’avérer être l’une des vulnérabilités les plus importantes de l’année 2026.
Le problème s’est vu attribuer un niveau de gravité mesuré à 9,2/10, ce qui souligne son caractère critique.
L’impact potentiel est considérable : si elle est exploitée avec succès, cette vulnérabilité pourrait permettre l’exécution de code à distance, l’une des formes de compromission informatique les plus graves. Concrètement, des cybercriminels pourraient exécuter du code malveillant sur les systèmes touchés, notamment en déployant des web shells, et ainsi prendre le contrôle des serveurs vulnérables.
Les incidents de cette nature peuvent prendre de l’ampleur très rapidement à l’échelle mondiale, en particulier lorsqu’ils touchent des technologies aussi largement déployées. C’est pourquoi la réaction doit être immédiate et ferme. Si votre infrastructure dépend de PHP, le correctif doit être appliqué dès que possible : une intervention rapide sera essentielle pour limiter l’exposition et protéger vos systèmes critiques.
Ci-dessous, les commentaires et l’analyse de Matt Psencik, Threat Research Engineer chez Tanium, à propos de la découverte de deux failles critiques dans le langage PHP :
« Avec PHP qui est à la base d’environ 75 % des applications web accessibles dans le monde, ces failles exigent une attention immédiate. Les installations qui m’inquiètent le plus sont celles qu’une équipe de sécurité ne sait pas posséder. Une entreprise peut corriger son application web principale et se sentir protégée, tout en passant à côté d’une application éditeur ou d’une image de conteneur livrée avec une version vulnérable de PHP.
Un inventaire logiciel précis et à jour, appuyé par une nomenclature logicielle (SBOM) de vos applications, est essentiel pour traiter rapidement ces vulnérabilités. Les équipes doivent identifier les binaires et les versions de PHP réellement présents, plutôt que de supposer qu’une mise à jour du système d’exploitation couvre tout.
Le correctif doit aussi s’accompagner d’une investigation. Examiner les journaux des serveurs web à la recherche de plantages inexpliqués et de requêtes de téléversement inhabituelles peut révéler une activité antérieure au correctif. Après la mise à jour, les équipes doivent redémarrer les services concernés et confirmer qu’ils exécutent bien la version corrigée. Un rapport de déploiement réussi ne suffit pas à établir que le code vulnérable a cessé de s’exécuter. »
Depuis mercredi, de nombreux sites administratifs, dont l’ensemble des préfectures de France, sont temporairement inaccessibles suite aux mesures de maintenance d’urgence demandées par l’ANSSI pour corriger une vulnérabilité critique sur PHP.
Si la priorité a été de couper les accès pour déployer les correctifs, Art Gilliland, PDG de Delinea (expert de la gestion des accès privilégiés), rappelle que le rétablissement des sites ne marquera pas la fin du danger :
« Les organisations se précipitent pour appliquer ces mises à jour de sécurité d’urgence avant que le moindre dommage ne soit causé. Bien qu’essentielle, ce n’est que la moitié de la bataille : elles doivent également vérifier si des attaquants n’ont pas déjà pénétré le système.
Si des attaquants ont déjà exploité ces faiblesses, ils ont pu obtenir l’accès à des mots de passe ou à des clés numériques qui pourraient leur permettre de revenir dans le système, même après la correction des failles. Cela signifie que le risque de sécurité pourrait persister longtemps après que la menace immédiate a été traitée, et que les attaquants pourraient conserver un accès pour frapper ultérieurement.
Si des attaquants se sont introduits, l’étendue des dommages qu’ils peuvent causer dépend en partie de ce à quoi ils ont accès. Réussir à s’introduire sur un site web ne devrait pas donner accès à tout ce qui se trouve derrière. Limiter ce à quoi chaque personne ou système peut accéder permet d’éviter qu’une seule intrusion ne se propage à l’ensemble de l’organisation. »