Deux failles critiques du langage de programmation PHP ont provoqué la mise hors ligne de sites web dans le monde entier, y compris en Suisse. Pour les assureurs, les courtiers et les petites et moyennes entreprises, la question n’est plus de savoir s’ils utilisent PHP, mais où. Car la réponse est souvent plus surprenante qu’on ne le pense.
Presque personne en dehors du service informatique ne connaît PHP, et pourtant une grande partie d’Internet fonctionne grâce à ce langage : de WordPress, Joomla, Typo3 et Drupal aux boutiques en ligne, portails clients et outils d’administration internes. À lui seul, WordPress alimente environ 400 à 500 millions de sites web. C’est précisément cette infrastructure qui a été compromise depuis cette semaine. Deux vulnérabilités au cœur du langage, connues sous le nom de « PHP2Shell » et référencées sous les numéros CVE-2026-109618 et CVE-2026-109619, circulent actuellement. Elles permettent aux attaquants d’exécuter à distance leur propre code sur le serveur sans avoir à se connecter. En clair : prendre le contrôle de sites web, extraire des bases de données, accéder aux données des clients et détourner l’infrastructure pour mener d’autres attaques.
Une fuite qui a déclenché le compte à rebours
Ce qui est explosif, ce n’est pas seulement la vulnérabilité en elle-même, mais la succession des événements. Le nom « PHP2Shell » provient d’un outil d’exploitation ; une capture d’écran de celui-ci a fait surface lors d’une fuite le 20 octobre 2026, avant qu’un correctif (destiné à corriger la vulnérabilité) ne soit disponible. Les versions corrigées ont été publiées le 21 octobre à 16 h, heure suisse. Les deux vulnérabilités sont notées 9,2 selon l’échelle CVSS, ce qui est proche du maximum. La situation est désormais grave : le RUS-CERT de l’université de Stuttgart a signalé l’existence d’exploits accessibles au public, a vérifié l’un d’entre eux selon ses propres déclarations et a fait état d’attaques déjà observées. Le BSI allemand classe le risque comme exceptionnellement élevé, avec un niveau d’alerte « 3 / Orange ».
La Suisse est en plein cœur de la tourmente
Ceux qui pensaient qu’il s’agissait uniquement d’un problème allemand ont rapidement dû se rendre à l’évidence. L’Office fédéral de la cybersécurité (BACS) a classé ces deux vulnérabilités comme critiques et exhorte tous les exploitants de sites web et de services en ligne à installer la mise à jour sans délai. Parmi les entités concernées figuraient l’hébergeur Cyon, basé à Bâle, et l’Université de Bâle. L’Université de Genève et l’EPFL ont également mis temporairement leurs sites web hors ligne, tout comme divers hébergeurs ; le canton de Bâle-Ville a quant à lui fermé ses sites web par mesure de précaution.
Il convient de noter l’observation du BACS, qui va bien au-delà du site web d’entreprise traditionnel : PHP est également présent dans les interfaces administratives, les applications métier internes, les plateformes d’hébergement, les conteneurs ou les appliances, et les opérateurs ne savent pas toujours qu’un produit utilise PHP en arrière-plan. Pour un secteur dont les courtiers, les agences et les portails clients fonctionnent souvent sur des solutions prêtes à l’emploi, il s’agit là d’un véritable signal d’alarme.
Suis-je concerné ?
La réponse honnête : toute personne qui gère son propre site web ou un site loué doit partir du principe que c’est le cas, jusqu’à preuve du contraire. Toutes les versions antérieures à 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ; seules ces quatre versions et toutes celles postérieures sont sécurisées. La manière dont PHP est intégré au serveur n’a pas d’importance ; l’équipe PHP considère qu’Apache avec mod_php présente le risque le plus élevé. Vous pouvez vérifier la version de PHP dans le panneau d’administration de votre hébergeur ou en contactant votre service informatique. Mais veillez à ne pas tirer de conclusions hâtives : le BACS souligne que la version majeure à elle seule ne permet pas de déterminer si un correctif est manquant, car les distributions Linux fournissent leurs propres paquets corrigés.
Les utilisateurs de créateurs de sites web peuvent se montrer un peu plus sereins. Les sites hébergés sur des plateformes telles que Shopify, Wix ou Squarespace ne sont généralement pas directement concernés, car c’est le fournisseur qui gère et met à jour les serveurs lui-même. Pour les internautes lambda, il n’y a de toute façon pas lieu de prendre des mesures dans l’immédiat : la vulnérabilité se situe au niveau des serveurs, et non sur les smartphones ou les ordinateurs portables. Vous pourriez toutefois être indirectement concerné en cas de fuite de données via un site web non protégé.
Que faire dès maintenant ?
Étape 1 : Contactez votre hébergeur, votre prestataire de services informatiques ou votre administrateur système — ne leur envoyez pas d’e-mail. Étape 2 : Effectuez la mise à jour. La seule solution complète consiste à passer à la version PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, puis à redémarrer tous les processus PHP. Ce redémarrage n’est pas un détail anodin : un processus lancé avant la mise à jour continue de s’exécuter avec l’ancien code en mémoire. De même, l’envie instinctive de mettre rapidement à jour WordPress et tous les plugins n’est d’aucune aide. Les vulnérabilités résident dans PHP lui-même ; la mise à jour des plugins ou des thèmes ne résout pas le problème.
La situation devient délicate pour tous ceux qui utilisent encore des technologies obsolètes. Le projet PHP ne fournit plus de mises à jour pour PHP 8.1 et les versions antérieures ; il ne propose que des rétroportages minimaux du code source pour les versions 7.4, 8.0 et 8.1, destinés aux administrateurs qui compilent eux-mêmes PHP. Dans ce cas, BACS recommande de passer à une version prise en charge. Et tant que nous y sommes : Selon php.net, PHP 8.2 ne bénéficiera de mises à jour de sécurité que jusqu’au 31 décembre 2026. Lorsqu’une mise à jour n’est pas possible, la seule option, comme le soulignent également les autorités, consiste à mettre temporairement le serveur hors ligne. Selon le BACS, un pare-feu d’application web ne suffit pas à lui seul.
La troisième étape, souvent négligée, consiste à vérifier si quelqu’un a déjà accédé au système. Le BACS invite les organisations à identifier les systèmes affectés au-delà du simple site web et à rechercher des signes d’attaque. Si vous soupçonnez une compromission, prenez les mesures suivantes : mettez le site web hors ligne, sécurisez les journaux comme preuves et modifiez tous les identifiants de connexion et les clés.
La question de l’assurance
Pour les entreprises disposant d’une cyberassurance, il est judicieux de consulter leur police dès maintenant, avant qu’un incident ne survienne. De nombreuses polices subordonnent la couverture à la mise en place de mesures de sécurité appropriées et à l’application en temps opportun des correctifs pour les vulnérabilités connues. Toute personne soupçonnant une attaque doit en informer son assureur dès que possible ; la plupart des assureurs proposent des lignes d’assistance dédiées à la gestion des incidents, spécialement conçues pour ce type de situations. À cela s’ajoutent des obligations légales : les exploitants d’infrastructures critiques doivent signaler les cyberattaques au BACS dans les 24 heures, et lorsque des données à caractère personnel sont susceptibles d’avoir été compromises, l’obligation de signalement au PFPDT s’applique en vertu de la loi révisée sur la protection des données. Pour les courtiers, cela s’applique doublement : ils exploitent eux-mêmes des sites web et des portails, et leurs clients PME attendent des conseils clairs, sans jargon technique — surtout en ce moment.
La véritable leçon
PHP2Shell n’est pas la première vulnérabilité de cette ampleur, et ce ne sera pas la dernière. La leçon à en tirer réside moins dans les aspects techniques que dans les aspects organisationnels : si vous ne savez pas quels logiciels sont en cours d’exécution sur quels systèmes, vous ne serez pas en mesure de réagir en quelques heures en cas de crise. Un inventaire à jour de votre propre infrastructure informatique, une répartition claire des responsabilités avec votre prestataire de services et un plan d’urgence bien rodé ne sont pas des options facultatives : il s’agit de gestion des risques. Les machines ont été corrigées en un temps record. Quant à savoir si elles sont mises à jour en temps voulu, cela dépend des personnes.
Binci Heeb
Voir également : L’assurance cyber connaît un essor, mais il subsiste des lacunes importantes pour les petites et moyennes entreprises
Recherche :
Sponsors :
