Si des sites web recommencent à être disponibles après avoir été, par mesure de sécurité, coupés, il reste encore bien des services PHP à mettre à jour après la publication de deux correctifs critiques.
« Site en maintenance ». En ce matin du vendredi 23 octobre, de trop nombreux sites français affichent encore ce message. Si la Cnil a par exemple résolu le problème, d’autres, comme celui de la préfecture de la Seine-Saint-Denis, sont toujours en carafe. C’est le résultat de deux failles particulièrement critiques identifiées dans le projet PHP, le support d’environ 70% des sites web du monde, selon une estimation qui fait consensus.
Dénommée PHP2Shell, ces deux failles ont été corrigées mardi dernier. Mais en attendant de corriger les vulnérabilités, les experts en cybersécurité préconisent de couper le service plutôt que d’être exposé. « Seule la mise à jour est sûre », rappelle ainsi le Cert Santé. Résultat : des jours noirs qui se succèdent sur le web. « Quelle journée », soupire par exemple sur le réseau social LinkedIn cet ancien cadre d’une des agences du Secrétariat général de la défense et de la sécurité nationale (SGDSN).
🚨 Censys is closely tracking PHP2Shell exposure and remediation worldwide.Our live dashboard tracks affected PHP versions and patching progress by country, network, and PHP version.View the live dashboard: php2shell.censys.com
— Censys (@censys.bsky.social) 2026-10-22T19:52:23.355Z
Surtout quand les galères s’enchaînent : « Compliqué de se connecter à son hébergeur quand la double authentification est activée par SMS », signale un ingénieur réseau, en référence à la panne de réseau mobile chez Orange. Un dernier « incident lié à une défaillance d'un équipement au niveau de notre cœur de réseau mobile », a indiqué l’opérateur.
Ce n’est d’ailleurs pas le seul imbroglio autour des failles PHP2Shell. La divulgation de ces vulnérabilités a en effet dérapé, comme l’a par exemple signalé Amazon. Le géant américain a ainsi identifié une tentative d’exploitation quatre jours avant la publication des correctifs. D’autres tentatives ont été également remarquées quelques heures avant la levée de l’embargo.
« Le délai entre la publication d'un correctif et l'exploitation d'une faille se réduit pour des raisons structurelles », observe l’entreprise. Avec l’IA, il est désormais plus simple de transformer un avis de sécurité et un correctif en un exploit fonctionnel en « quelques heures, voire quelques minutes ».
Cependant, prévient Vincent Strubel, le patron de l’Anssi, « l’IA n'est a priori pour rien dans le caractère chaotique de l'alerte qui prend tout le monde au dépourvu ». Si c’est un outil basé sur l’intelligence artificielle qui a permis de repérer ces failles dans PHP que personne n’avait vu, « il semblerait que ce soit un bon vieux quiproquo » autour du tempo dans la divulgation des failles qui a semé le bazar.
Quoiqu'il en soit, selon l’entreprise Censys, qui a mis en place une page de suivi de la faille, il restait encore 34 millions de services PHP vulnérables au dernier scan. Près de 7 millions de services auraient déjà été mis à jour. Toujours selon son décompte, plus de 2 millions de services PHP seraient toujours vulnérables dans l’Hexagone, faisant de la France le troisième pays le plus concerné.
Seuls près de 290 000 instances ont été mises à jour pour l’instant dans le pays de Molière. Autant dire que les messages « site en maintenance » ont encore de beaux jours devant eux.
Deux failles PHP critiques ont été identifiées, affectant plusieurs versions du logiciel dont les mainteneurs n'assurent plus le support. Des correctifs exceptionnels ont été publiés, mais le CERT-FR recommande d'isoler les équipements affectés.
Le ZDNET Morning le brief de l'actu tech pour les pros tous les matins à 9h00. Transformation numérique, IA, matériel, logiciels,… ne passez pas à côté de ce qui fait la Une du secteur.
Dans un rapport de 80 pages, les experts de l’Anssi livrent leurs recommandations pour limiter les violations de données applicatives. Des préconisations basées sur leur retour d’expérience après analyse des incidents de ce type.
Pendant un peu plus d'une heure lundi, le répertoire permettant de télécharger l'outil de contrôle en ligne de commande d'OVHcloud a été compromis pour diffuser un logiciel malveillant. L'attaque a été repérée par un utilisateur et bloquée par OVHcloud.
Mail, SMS ou faux site imitant PayPal, Amazon ou votre banque : voici comment reconnaître un phishing, le signaler et sécuriser vos comptes.
Family Link encadre applis, écran et contenu sur Android, mais ne bloque pas tout. Voici ce que le contrôle parental Google protège, et ses limites réelles.
Norton, Bitdefender, McAfee, Avast ou Surfshark proposent un antivirus avec VPN inclus. Voici ce que ces offres apportent vraiment, et leurs limites.
Windows intègre Microsoft Defender par défaut. Suffit-il face aux virus, au phishing et aux ransomwares, ou faut-il un antivirus tiers ?
Une nouvelle fonctionnalité introduite avec iOS 27 (et iPadOS 27) est un paramètre appelé « Détection des risques d’usurpation d’identité », qui vise à vous alerter en cas d’activité suspecte susceptible de vous exposer à une arnaque.
De nos jours, dans la lutte contre les menaces en ligne, les certifications et les années d'expérience ne suffisent plus. Avec l'automatisation renforcée par l’IA, trois compétences prennent le relais.
