PHP2Shell : la faille qui a fait trembler le web aujourd'hui

Vous ne connaissez peut-être pas PHP. Lui vous connaît. Votre boutique en ligne préférée, le blog de votre club de foot, la page de votre préfecture : beaucoup tournent grâce à lui. Et depuis lundi, ce langage informatique vieux de trente ans est au centre d'une alerte mondiale. Son nom : PHP2Shell.

Pourquoi tant de sites ont fermé

En France, tous les sites des préfectures ont été coupés. Impots.gouv.fr est passé « en maintenance » dans l'après-midi. Météo France et la Cnil sont devenus inaccessibles, tout comme des titres de presse, selon Linternaute qui suit l'affaire en direct. En fin de journée, les sites des préfectures affichaient toujours un message de maintenance.

Le ministère de l'Intérieur assume, dans un communiqué cité par Reuters : « Par mesure de précaution, les sites des préfectures ont été temporairement mis hors ligne. » Le gouvernement attendait le correctif avant de rallumer.

La France n'est pas seule. Le Parlement néerlandais, des services publics finlandais et des pans de Wikipédia ont aussi été coupés, d'après la même source.

Attention à ne pas tout mélanger. La panne qui a touché Orange, SFR et Bouygues Telecom ce même mercredi n'aurait aucun lien avec PHP, selon BFMTV. Simple coïncidence de calendrier, à ce stade.

PHP, le moteur que personne ne voit

PHP est un langage de programmation. Il tourne sur les serveurs, ces ordinateurs qui hébergent les sites. Quand vous cliquez sur « ajouter au panier », c'est souvent lui qui travaille en coulisses.

Son poids est énorme. Selon le site ITdaily, près de 70 % des sites web dans le monde seraient concernés. WordPress, le logiciel qui fait tourner une bonne partie des blogs et des sites vitrines, repose sur PHP. Tout comme de nombreuses boutiques en ligne.

Le problème, cette fois, ne vient pas d'une extension mal codée ou d'un site négligé. Il est dans PHP lui-même. Autrement dit, dans les fondations.

Une faille qui a fuité avant l'heure

Normalement, ces choses-là se passent en silence. Les chercheurs préviennent les développeurs. Les développeurs corrigent. Puis tout le monde est informé en même temps que la rustine sort. Ici, rien ne s'est passé comme prévu.

Lundi 20 octobre, un message publié sur le forum Hacker News annonce deux failles critiques dans PHP. Le même jour, une capture d'écran circule. Elle montre un outil d'attaque baptisé « PHP2Shell ». Sa bannière affirme qu'il fonctionne sur toutes les versions de PHP depuis 2012. Une affirmation qui n'a pas été vérifiée de façon indépendante.

Dans la soirée, l'équipe de PHP confirme. Deux failles, notées 9,2 sur 10 en gravité. Le correctif, d'abord prévu jeudi, est avancé au mercredi 21 octobre. Il est publié en début d'après-midi, heure de Paris.

Ce que permettent ces failles fait froid dans le dos. Un pirate pourrait prendre le contrôle d'un serveur à distance, sans mot de passe ni compte. Un peu comme ouvrir une porte blindée avec une simple carte de visite.

Comment ? Quand vous visitez un site, le serveur prépare votre réponse dans sa mémoire. La première faille permet de l'interrompre en plein travail. Le serveur continue alors avec des données à moitié prêtes, comme si de rien n'était. La seconde tient au ménage entre deux visiteurs : il est mal fait. Des restes de la requête précédente traînent en mémoire. Dans les deux cas, l'attaquant profite du désordre pour glisser ses propres instructions.

Détail qui interpelle : les failles ont été signalées par les entreprises Calif, OpenAI et Wiz, avec l'aide de l'intelligence artificielle. Et selon la PHP Foundation, le problème de fond avait déjà été repéré lors d'un audit en 2024. Sans qu'aucun correctif ne soit proposé à l'époque.

Des attaques déjà en cours ?

C'est la question à un million. Et les réponses divergent.

Mercredi matin, vers 9h45 heure de Paris, le directeur technique de Cloudflare, géant de la sécurité web, dit voir les premières attaques émerger. L'entreprise affirme avoir observé du trafic malveillant visant ses clients, avec des techniques modifiées pour contourner ses protections. D'autres sociétés spécialisées parlent même d'exploitation à grande échelle.

À l'inverse, l'agence de cybersécurité allemande, le BSI, ne confirmerait aucune attaque. Et l'agence américaine CISA n'a pas encore classé ces failles parmi celles exploitées activement. À ce stade, des attaques seraient donc en cours, sans confirmation officielle d'une vague massive.

Une chose est sûre : la course est lancée. Maintenant que le correctif est public, les pirates peuvent l'étudier pour comprendre la faille. Chaque serveur non mis à jour devient une cible.

Les autorités ne prennent pas l'affaire à la légère. L'agence britannique NCSC, le CERT-EU, la NSA américaine et leurs homologues japonais et australiens ont tous appelé à mettre à jour sans attendre. Ou à couper les sites qui ne peuvent pas l'être. La PHP Foundation est catégorique : il n'existe pas de parade complète, seule la mise à jour protège.

Le pire scénario évoqué par des chercheurs ? Un ver informatique, un programme capable de sauter seul de serveur en serveur. Il est trop tôt pour dire si cette menace est réelle.

Et tout le monde ne pourra pas se protéger facilement. Les versions anciennes de PHP, encore très utilisées, ne recevront pas de correctif officiel. En France, le CERT-FR, le centre d'alerte de l'État, recommande d'isoler ces serveurs puis de migrer vers une version à jour.

Et vous, que faire ?

Vous êtes simple internaute. Pas besoin de mettre à jour votre téléphone ou votre ordinateur : la faille touche les serveurs, pas vos appareils. Le risque, pour vous, est indirect : un pirate qui contrôle un serveur pourrait lire ce qu'il a en mémoire, y compris les identifiants ou données bancaires des visiteurs connectés au même moment. Aucune consigne officielle n'a été donnée aux usagers à ce stade. Quelques réflexes aident quand même.

Méfiez-vous d'un site habituel qui se comporte bizarrement : redirection inattendue, page de paiement qui change d'aspect. Utilisez des mots de passe différents pour chaque site. Si l'un est piraté, les autres restent à l'abri. Surveillez vos relevés bancaires après des achats en ligne.

Vous avez un site, une boutique ou une association en ligne. Là, il faut agir vite.

Contactez votre hébergeur ou votre prestataire dès aujourd'hui. Demandez-lui si PHP a été mis à jour.
Les versions sûres sont les 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Certains hébergeurs appliquent le correctif sous un ancien numéro de version : demandez-leur confirmation plutôt que de vous fier au seul chiffre.
Si votre site tourne sur une version ancienne (8.1 ou avant), la migration devient urgente.
Gardez une sauvegarde récente. En cas de piratage, c'est elle qui vous sauvera.