Faille PHP2Shell : les sites web camerounais appelés à mettre PHP à jour sans attendre
Le 21 octobre 2026, l'équipe de PHP a publié sur php.net des correctifs pour deux failles critiques, notées 9,2 sur l'échelle de gravité du système commun de notation des vulnérabilités (CVSS). Ces failles permettent de prendre le contrôle d'un serveur web sans mot de passe. Selon W3Techs, PHP fait tourner 69,7 % des sites dont le langage serveur est connu. Au Cameroun, où le .cm compte 32 401 noms de domaine d'après l'Internet Society, les responsables de sites ont intérêt à vérifier leur version aujourd'hui.
Dans beaucoup de petites et moyennes entreprises (PME), le site internet a été monté il y a quelques années par « quelqu'un qui s'y connaît ». Depuis, une seule règle s'applique : ça marche, donc on ne touche à rien. Cette semaine, cette règle ne tient plus. Le 21 octobre 2026, l'équipe qui développe PHP a annoncé sur son site officiel, php.net, de nouvelles versions qui corrigent deux failles qu'elle classe comme critiques. Elle demande à tous les utilisateurs de faire la mise à jour « immédiatement ».
PHP, le moteur caché de nombreux sites
PHP est un langage de programmation qui tourne sur les serveurs. C'est lui qui fabrique les pages que l'on voit dans son navigateur. Des outils très répandus pour créer des sites, comme WordPress, Joomla ou Drupal, fonctionnent avec PHP. Selon les données de W3Techs citées par Infosecurity Magazine, il est utilisé par environ 69,7 % des sites web dont le langage serveur est connu.
Les deux failles, surnommées « PHP2Shell », permettent à un attaquant de faire exécuter ses propres commandes sur le serveur qui héberge un site, sans identifiant ni mot de passe. Elles sont toutes les deux notées 9,2 selon le système commun de notation des vulnérabilités (CVSS). D'après PHP, toutes les installations qui affichent des pages web sont concernées. Le risque est jugé le plus élevé pour la configuration Apache avec le module mod_php. Les détails devaient rester secrets jusqu'à la sortie des correctifs. Mais, selon Infosecurity Magazine, un message publié le 20 octobre sur le forum Hacker News a révélé l'existence des failles dès la veille. OpenAI affirme avoir participé à leur découverte.
Des sites déjà mis hors ligne par précaution
Les conséquences sont déjà visibles. D'après NBC News, des autorités américaines, européennes et britanniques ont recommandé aux sites de se mettre temporairement hors ligne en attendant de pouvoir se corriger. Le service de favoris Pinboard, certaines parties de Wikipédia et les forums 4chan et Something Awful se sont ainsi déconnectés. Au Japon, des sites de crèches et de jeux vidéo ont fait de même, selon ITmedia. L'unité de recherche Unit 42 de Palo Alto Networks indique qu'au moins un gouvernement européen a mis son site hors ligne par précaution. Selon Qualys, Cloudflare a observé un trafic d'attaques visant ces failles. Les chercheurs de Wiz ont montré que l'attaque fonctionnait sur WordPress, Drupal et Joomla, et qu'une autre technique pouvait faire fuiter des mots de passe et des clés d'accès.
L'exposition est massive. Censys compte près de 55 millions de propriétés web qui utilisent PHP. Palo Alto Networks recense plus de 22,6 millions d'installations potentiellement vulnérables. De son côté, Huntress n'avait encore observé aucune attaque sur les systèmes de ses clients en fin de journée. Tous ces chiffres datent du 21 octobre 2026 et vont évoluer dans les prochains jours.
Que faire, concrètement ?
Il faut passer à l'une des versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Les versions 8.1 et plus anciennes ne reçoivent plus de mises à jour officielles. PHP a tout de même publié des correctifs minimaux pour les versions 7.4, 8.0 et 8.1. Les sites concernés doivent toutefois s'adresser à leur fournisseur de système ou passer à une version encore suivie. PHP propose aussi des réglages temporaires, mais il prévient qu'ils réduisent le risque sans le supprimer : seule la mise à jour protège vraiment. Si la mise à jour n'est pas possible tout de suite, l'équipe d'intervention d'urgence informatique de l'Union européenne (CERT-EU) conseille d'isoler d'internet les applications exposées.
Vous n'avez pas d'informaticien ? Appelez votre hébergeur ou le prestataire qui a créé le site. Demandez-lui quelle version de PHP tourne et si le correctif est déjà installé. Les simples internautes, eux, n'ont rien à installer sur leur téléphone. Pour eux, le risque est indirect : un site piraté peut exposer les données qu'on lui a confiées. Si un site annonce un incident, mieux vaut changer son mot de passe, et éviter d'utiliser le même partout.
Au Cameroun, un parc difficile à mesurer
Il est impossible de dire combien de sites camerounais sont touchés. D'après la plateforme Pulse de l'Internet Society, le .cm compte 32 401 noms de domaine enregistrés (donnée 2026). On ne sait pas combien d'entre eux hébergent un site actif ni combien fonctionnent avec PHP. Par ailleurs, de nombreux sites camerounais utilisent d'autres extensions que le .cm. Le graphique ci-dessous retrace l'évolution du registre, géré par l'Agence nationale des technologies de l'information et de la communication (ANTIC).
Un autre indicateur permettra de suivre la situation. Au 21 octobre 2026, le projet URLhaus (abuse.ch) recensait 5 adresses web malveillantes encore actives hébergées sur des serveurs au Cameroun. Ce chiffre ne compte que les signalements reçus par URLhaus. S'il grimpe dans les prochaines semaines, ce pourrait être un signe que des serveurs locaux non corrigés ont été piratés.
Le site monté par « quelqu'un qui s'y connaît » mérite donc un coup de fil cette semaine. La règle « on ne touche à rien » a ses limites, surtout quand c'est le moteur du site lui-même qui réclame une révision.