Actualité — 22 octobre 2026
C’est l’une des alertes de sécurité les plus larges de l’année. L’équipe de sécurité de PHP, le langage qui fait tourner l’immense majorité des sites web dans le monde, a dû publier en urgence des correctifs pour deux failles critiques, regroupées sous le nom de PHP2Shell. Déjà exploitées par des attaquants, ces vulnérabilités permettent de prendre le contrôle d’un serveur web à distance, sans même disposer d’un compte. Autrement dit, elles concernent potentiellement presque tous les sites et applications web, y compris ceux des entreprises sénégalaises. Voici ce qu’il faut comprendre et faire.
PHP, le moteur invisible du web
Pour saisir la portée de cette alerte, il faut rappeler ce qu’est PHP. C’est un langage de programmation qui fait fonctionner la grande majorité des sites web de la planète: sites vitrines, boutiques en ligne, applications métiers, systèmes de gestion de contenu comme WordPress. Quand vous consultez un site, il y a de fortes chances qu’un serveur exécute du code PHP en coulisses pour vous l’afficher.
Cette omniprésence est précisément ce qui rend une faille dans PHP si dangereuse: une vulnérabilité dans le langage lui-même expose, en théorie, un nombre colossal de sites et de serveurs à travers le monde.
La faille : prendre le contrôle d’un serveur sans compte
PHP2Shell regroupe deux vulnérabilités critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur 10, un niveau de gravité très élevé. Elles permettent une exécution de code à distance sans authentification: un attaquant, sans identifiant ni mot de passe, peut faire exécuter ses propres commandes sur un serveur web vulnérable, et donc en prendre le contrôle.
Leur portée est massive. Selon les sources de sécurité, elles affectent toutes les installations de PHP qui servent des pages web, à peu près toutes les versions depuis PHP 5, et quel que soit le mode de fonctionnement. Les chercheurs ont également montré qu’elles peuvent exposer le contenu de la mémoire du serveur, c’est-à-dire potentiellement des mots de passe, des jetons d’authentification ou des clés d’accès. Les conséquences possibles vont donc de la compromission du site au vol de données sensibles.
Une divulgation précipitée et une exploitation déjà active
La situation a été aggravée par un incident de calendrier. Les détails de ces failles ont fuité en ligne avant la date prévue de divulgation coordonnée, forçant l’équipe PHP à avancer la publication des correctifs au 21 octobre. Ce type de fuite est dangereux: il donne aux attaquants l’information avant que les défenseurs n’aient eu le temps de se protéger.
Résultat, plusieurs acteurs de la sécurité observent déjà des tentatives d’exploitation actives, et des traces d’attaque antérieures même à la divulgation publique ont été relevées. L’agence américaine de cybersécurité, la CISA, ainsi que le CERT de l’Union européenne appellent à appliquer les correctifs immédiatement. Pourtant, les premières mesures du secteur montrent qu’une très faible proportion des serveurs avait été corrigée dans les heures suivant la publication. La fenêtre pendant laquelle les systèmes restent vulnérables est donc largement ouverte, ce qui accroît le risque.
Ce qu’il faut faire
La consigne est simple et prioritaire: mettre à jour PHP sans délai vers une version corrigée, à savoir 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, selon la branche utilisée.
Un point mérite une attention particulière. Les versions de PHP en fin de vie, c’est-à-dire PHP 8.1 et antérieures, ainsi que les anciennes branches 7 et 5, ne reçoivent aucun correctif officiel. Les sites qui les utilisent, et ils sont nombreux, restent donc exposés, et doivent migrer vers une version supportée. C’est un chantier plus lourd qu’une simple mise à jour, mais devenu urgent. Des mesures d’atténuation temporaires ont par ailleurs été publiées par PHP pour gagner du temps, mais elles ne remplacent pas le correctif.
La réponse des autorités africaines
Sur le continent, les autorités de cybersécurité se sont mobilisées, de façon inégale. La Direction générale de la sécurité des systèmes d’information marocaine, la DGSSI, a émis une alerte sur ces deux failles critiques. De son côté, le message de l’équipe nationale de réponse aux incidents du Nigéria, le ngCERT, a été jugé trop succinct au regard de l’ampleur de la menace. Cet écart illustre une réalité du continent: des dispositifs institutionnels qui se structurent, mais à des niveaux de maturité encore variables d’un pays à l’autre.
Notre lecture : ce que les entreprises sénégalaises doivent faire
Cette alerte n’est pas lointaine: elle concerne directement les entreprises sénégalaises. La plupart des sites vitrines, des boutiques en ligne et des applications web utilisées localement reposent sur PHP. Si votre entreprise a un site ou une application web, elle est probablement concernée.
Trois réflexes s’imposent. D’abord, vérifier sans attendre la version de PHP de votre site et la mettre à jour vers une version corrigée. Ensuite, et c’est souvent l’angle aveugle, contacter votre hébergeur ou votre agence web: beaucoup d’entreprises ne gèrent pas elles-mêmes leur serveur et dépendent de la réactivité d’un prestataire. Vous restez pourtant responsable de votre site, ce qui rejoint directement l’enjeu du risque lié aux tiers que nous évoquions récemment. Enfin, traiter en priorité les sites tournant sur des versions obsolètes de PHP, qui resteront vulnérables faute de correctif et qu’il faut planifier de migrer.
Au-delà de ce cas précis, PHP2Shell illustre une leçon de fond: la sécurité d’une entreprise dépend de la rapidité avec laquelle elle sait identifier et corriger les failles critiques, en particulier sur ce qu’elle expose sur Internet. Face à une exploitation déjà active, chaque heure compte, et une gestion rigoureuse des vulnérabilités fait la différence entre un site protégé et un serveur compromis.
Chez Gaël Conseil, nous aidons les entreprises à vérifier leur exposition, à sécuriser leurs serveurs et leurs sites web, et à mettre en place une gestion continue des vulnérabilités qui permet d’appliquer vite les correctifs critiques. Face à des menaces qui frappent en quelques heures, l’anticipation et la réactivité sont les meilleures protections.
Votre site ou votre application web tourne-t-il sur une version de PHP à jour et sécurisée ? Échangeons sur votre exposition.