Failles PHP2Shell : après les correctifs, quels risques pour les sites tunisiens ?
Des services en ligne suspendus par précaution, des millions de tentatives d’exploitation et une course aux mises à jour : les failles « PHP2Shell » mobilisent les équipes informatiques à travers le monde. En Tunisie, l’Agence nationale de la cybersécurité a publié une alerte dès le 21 octobre. Pour les responsables de sites, l’urgence est de vérifier que leur hébergement a bien été corrigé.
Les correctifs sont disponibles, mais le risque demeure pour les installations vulnérables. Mercredi 21 octobre 2026, l’équipe PHP a publié les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12, destinées à corriger deux vulnérabilités critiques : CVE-2026-109618 et CVE-2026-109619.
Regroupées sous l’appellation « PHP2Shell », ces failles peuvent permettre à un attaquant d’exécuter du code à distance sur un serveur vulnérable, sans disposer d’identifiants. Leur gravité est évaluée à 9,2 sur 10 selon le système CVSS 4.0.
Des fermetures préventives et des millions de tentatives
L’alerte a conduit plusieurs organismes à suspendre temporairement leurs services. En Finlande, des sites publics ont été mis hors ligne. Au Japon, Mitsubishi UFJ, ANA et East Japan Railway ont interrompu certains services en ligne. Orange a également suspendu l’accès à certains sites et applications dans plusieurs filiales.
Parallèlement, Cloudflare a observé une forte hausse des tentatives d’exploitation, atteignant plusieurs millions selon son directeur général, Matthew Prince, cité par Reuters. Ces tentatives ne correspondent pas à autant de piratages réussis. Les interruptions préventives ne constituent pas non plus, à elles seules, la preuve d’une intrusion.
En Tunisie, l’ANCS a déjà donné l’alerte
L’Agence nationale de la cybersécurité (ANCS) a publié, dès le 21 octobre, le bulletin tunCERT/Vuln.2026-657. Elle y signale des risques d’exécution de code arbitraire, de déni de service et d’atteinte à la confidentialité et à l’intégrité des données. Elle recommande l’installation des versions corrigées de PHP.
Ce bulletin ne présente pas de bilan d’incidents en Tunisie. Les sources consultées ne permettent pas davantage de chiffrer le nombre de sites tunisiens encore vulnérables.
Pour les administrations, les médias, les universités ou les entreprises, la priorité consiste donc à contrôler les installations. Les sites utilisant WordPress, Joomla ou Drupal sont notamment concernés par cette vérification : ces outils reposent sur PHP, dont les vulnérabilités peuvent les affecter même lorsque leur propre code est à jour.
Pourquoi une mise à jour de WordPress ne suffit pas
Le correctif doit être appliqué à PHP sur le serveur d’hébergement. Actualiser uniquement WordPress, ses thèmes ou ses extensions ne remplace pas cette intervention.
Plusieurs configurations sont concernées, dont PHP-FPM et Apache avec mod_php. Dans certains cas, l’attaque peut se déclencher avant même l’exécution du code du site. Une simple page de maintenance activée depuis WordPress ne constitue donc pas une protection suffisante. Si la correction immédiate est impossible, les organismes européens recommandent d’envisager l’isolement de l’application vulnérable du réseau public.
Une exploitation réussie pourrait entraîner le vol de données, la modification de pages ou la prise de contrôle du serveur affecté. Pour un média, cela pourrait notamment se traduire par l’altération de contenus ou l’exposition d’informations sensibles. Il s’agit de conséquences possibles, sans préjuger d’incidents effectivement constatés en Tunisie.
Les anciennes versions demandent une vigilance particulière
PHP 8.1 et les versions antérieures ne bénéficient plus du support officiel du projet. Certains fournisseurs proposent toutefois une maintenance prolongée et des correctifs adaptés. L’équipe PHP a également fourni des correctifs sources minimaux pour les branches 7.4, 8.0 et 8.1.
Les responsables de sites doivent donc demander à leur hébergeur de confirmer que leur installation est corrigée et préparer, si nécessaire, une migration vers une branche maintenue. PHP 8.2 atteindra lui-même la fin de son support de sécurité le 31 décembre 2026.
Les cinq actions prioritaires
- Vérifier chaque installation PHP, avec l’appui de l’hébergeur, en commençant par les services accessibles depuis Internet.
- Appliquer les correctifs disponibles, puis vérifier que les applications fonctionnent avec la version corrigée.
- Isoler les applications vulnérables qui ne peuvent pas être corrigées rapidement, jusqu’à l’application et à la vérification de la mise à jour.
- Planifier la migration des versions anciennes, afin de retrouver un support de sécurité durable.
- Examiner les journaux et les signes d’activité suspecte, y compris avant la divulgation publique. Amazon Threat Intelligence rapporte une tentative d’exploitation détectée dès le 17 octobre, sur un serveur leurre. La mise à jour doit donc s’accompagner d’une recherche d’éventuelles traces d’intrusion antérieures.
