Failles PHP : quels risques pour 70 % des sites web ?
Les responsables de la cybersécurité des entreprises et des sites officiels, y compris ceux de l’État français, sont sur les nerfs depuis jeudi 21 octobre. Des failles dites « PHP » rendraient les plateformes vulnérables. Une course contre la montre est engagée pour éviter les actions de pirates informatiques.
Des vulnérabilités critiques découvertes grâce à l’IA
Deux failles PHP ont été révélées mardi 20 octobre. Leur gravité est évaluée à 9,2 sur 10. PHP est un langage de programmation créé au début des années 1990. Il est utilisé par 70 % des sites Web dans le monde, soit des dizaines de millions de plateformes.
Ces failles ont été débusquées grâce à l’intelligence artificielle. Les chercheurs des sociétés de cybersécurité Wiz et Calif ont utilisé les outils Gemini 4 Argon de Google et GPT d’OpenAI. « Cette trouvaille a été gardée secrète le temps qu’un correctif soit élaboré », selon l’AFP.
Selon la NSA, il n’est pas besoin de « clé », de code, ni de mot de passe pour accéder directement au système de fichier ou à la base de données d’un serveur. Les risques incluent l’accès aux données clients d’un site marchand, aux données personnelles d’un site gouvernemental (par exemple les impôts), l’installation d’un programme tiers sur un serveur, ou la création d’une porte dérobée pour une future cyberattaque. De nombreux sites ont été mis hors ligne le temps d’installer les correctifs. Certaines portes sont ouvertes depuis quatorze ans. Des sites institutionnels sont concernés : États-Unis, Finlande, Allemagne, Danemark, Royaume-Uni, France. En France, les sites des ministères de l’Intérieur, de la Culture et des impôts étaient en « maintenance » préventive jeudi matin. Les sites Météo-France et Ville de Paris ont été fermés préventivement, puis rouverts jeudi.
Il ne s’agit pas d’une cyberattaque massive mais de failles de sécurité. Les failles sont référencées CVE-2026-109618 et CVE-2026-109619. Les correctifs sont disponibles sur le site de l’éditeur depuis mercredi 21 octobre à 16 heures, selon l’ANSSI. Plusieurs informations convergent : les cybercriminels n’ont pas attendu pour livrer des cyberattaques fomentées grâce à l’IA.
