Le 21 octobre 2026, les créateurs de PHP, le langage de programmation gratuit qui fait tourner la plupart des sites web, ont publié des correctifs d'urgence pour deux failles critiques. Ces failles peuvent permettre à un inconnu de prendre le contrôle de l'ordinateur d'un site, sans mot de passe.
Des entreprises de sécurité ont repéré les premières attaques, et certains services, dont des sites du gouvernement néerlandais, ont été mis hors ligne par précaution (source).
Que cela signifie-t-il pour les lecteurs de cette page: les personnes qui utilisent des sites chaque jour, celles qui tiennent une petite entreprise ou une boutique en ligne, et celles qui créent ou entretiennent des sites? Que va-t-il probablement se passer dans les prochains jours et semaines, et que doit faire chacune d'entre elles dès maintenant?
En termes simples : PHP — langage de programmation gratuit qui fait tourner la plupart des sites web; Patchstack — entreprise qui suit les failles de sécurité des sites web; Cloudflare — entreprise américaine qui protège les sites web contre les attaques; CISA — l'agence américaine de cyberdéfense du gouvernement; CVE — numéro d'identification officiel d'une faille de sécurité; Wiz — entreprise de sécurité appartenant à Google, qui a trouvé les failles; BleepingComputer — site qui couvre l'actualité de la sécurité informatique; Le Monde — le principal quotidien de France
Que faire
Demandez aujourd'hui à votre hébergeur: « Quelle version de PHP fait tourner mon site? » Versions corrigées: 8.2.35, 8.3.36, 8.4.27, 8.5.12.
La version de PHP de votre boutique, pas ses extensions, décide si vous êtes protégé: un e-mail à l'hébergeur tranche aujourd'hui.
Qui doit faire quoi
Propriétaires de boutiques et créateurs de sites : Aujourd'hui, 22 octobre, obtenez de l'hébergeur une confirmation écrite qu'un PHP corrigé est en service; ensuite, changez les mots de passe administrateur et les clés que le site conserve.
Internautes ordinaires : Changez un mot de passe seulement si un site annonce une fuite, puis changez aussi ceux que vous réutilisez ailleurs; gardez la connexion en deux étapes activée et ignorez les e-mails « votre site a été piraté ».
Ce qu’il ne faut pas faire : Ne considérez pas « WordPress est à jour » comme une preuve, et n'installez pas d'extensions de correction non officielles.
Mettre à jour WordPress ou ses extensions ne ferme pas cette faille. La faille est dans PHP, le moteur sous la boutique, donc même un site parfaitement entretenu peut rester ouvert. Les sondages ont commencé le 17 octobre, avant qu'aucun correctif n'existe.
Le correctif n'expulse pas quelqu'un déjà à l'intérieur. Ici, une intrusion laisse presque aucune trace: « rien vu » n'est donc pas une preuve de sécurité. Des plantages ou des erreurs bizarres dans les journaux du serveur doivent être traités comme une intrusion possible.
Demandez aujourd'hui à votre hébergeur quelle version de PHP fait tourner votre site. Si la version est 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, demandez à votre hébergeur de vérifier les journaux depuis le 17 octobre. Sinon, demandez-lui un correctif avant le week-end, ou passez le site en mode maintenance le temps de l'intervention. Sous PHP 8.1 ou plus ancien, demandez à votre prestataire un backport, c'est-à-dire un correctif conçu pour les anciennes versions, ou passez à une version plus récente.
C’est ce que conseille la majorité des IA. Plus bas, chaque IA l’explique avec ses mots.
Ce que pensent les 10 IA de premier plan du monde
Ils sont d'accord
Presque tous: la mise à jour des extensions ne suffit pas, changez le PHP du serveur.
Ils divergent
Zhipu AI et Kimi jugent les attaques difficiles à réussir; MiMo, le silence trompe.
Pas évident
Attaques lancées le 17 octobre; des sites corrigés peuvent encore abriter des intrus.
À surveiller
Si les intrusions confirmées restent rares d'ici mi-novembre, l'avis « difficile à réussir » tient.
Les dix s'accordent sur l'essentiel. La faille se trouve dans PHP, le moteur qui fait tourner environ 7 sites sur 10, et non dans WordPress ni dans une extension. Mettre à jour seulement le logiciel de la boutique ne sert donc à rien.
Seules quatre versions corrigées de PHP comptent: 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les visiteurs ordinaires n'ont rien à installer, car la brèche se trouve sur les serveurs, et non sur les téléphones ou les ordinateurs.
Ils s'accordent aussi sur les faits connus à ce jour. Les attaquants ont commencé à sonder les sites le 17 octobre, quatre jours avant le correctif, et Cloudflare a compté des millions de tentatives après la divulgation. Les coupures, comme celles des connexions du gouvernement néerlandais, étaient des arrêts de précaution. Aucune intrusion réussie n'était confirmée au 22 octobre.
Ils divergent sur le niveau d'inquiétude. Zhipu AI et Kimi insistent sur le fait que les outils d'attaque publics plantent souvent ou exigent des conditions particulières sur le serveur. MiMo et Claude avertissent qu'une intrusion réussie laisse presque aucune trace, si bien que « rien vu » peut signifier « rien repéré ».
Claude ajoute que le centre néerlandais de cybersécurité examinait déjà les premiers signes d'une véritable intrusion. Les chiffres d'exposition diffèrent aussi, de environ 884 000 vieux serveurs à 22,6 millions de systèmes, chaque entreprise comptant à sa façon.
À venir: quelques jours de correctifs précipités, davantage de sites hors ligne pendant des heures, et probablement les premières intrusions nommées. Les sites sous PHP 8.1 ou plus ancien ne reçoivent aucun correctif officiel; ils restent donc exposés le plus longtemps.
Combler la faille ne suffit pas à expulser quelqu'un déjà installé à l'intérieur; les propriétaires doivent donc aussi vérifier les journaux remontant au 17 octobre et changer les mots de passe et clés enregistrés.
Ils divergent : Zhipu AI et Kimi jugent les attaques difficiles à réussir; MiMo, le silence trompe. Ce qui tranchera le débat : Le centre néerlandais de cybersécurité tranchera sur les premiers signes d'intrusion.
Pas de vraie division: les deux camps donnent les mêmes correctifs et les mêmes dates; les réponses venues de Chine ajoutent des listes plus longues de pannes.
Qui gagne, qui perd : Gagnent hébergeurs corrigés; perdent propriétaires de vieux sites PHP 8.1 et leurs clients.
La réponse finale, rédigée par une IA
À côté de chaque IA : sa place du jour et sa note sur 10, donnée par d’autres IA qui servent de juges. Touchez une réponse pour la lire.
1Z.aiChine8,2Un attaquant a visé 123 serveurs dix fois: aucun n'a été piraté
Pour les personnes qui se contentent d'utiliser des sites web, c'est surtout l'affaire de quelqu'un d'autre: le combat oppose les attaquants et les responsables des sites. La faille se trouve dans PHP, le logiciel gratuit derrière environ 7 sites sur 10.
Elle a été trouvée avec l'aide de l'IA et permet à un inconnu d'exécuter son propre code sur l'ordinateur d'un site, sans aucun mot de passe. Des entreprises de sécurité ont vu les attaques commencer avant même l'apparition du correctif, mais à ce jour, le 22 octobre, aucune intrusion réussie n'a été confirmée nulle part.
Cela change la semaine de quiconque gère une petite boutique ou un site d'entreprise, car la faille est dans PHP lui-même: même un site parfaitement entretenu, sur une ancienne version, est exposé, et les correctifs prêts à l'emploi n'existent que pour les versions 8.2 et plus récentes. Les semaines à venir apporteront un balayage automatique incessant.
Des chercheurs qui ont observé un attaquant tenter dix passages contre 123 serveurs n'ont compté aucune intrusion: l'attaque fonctionne, mais elle est difficile à réussir. Cet écart, entre des millions de serveurs anciens et non corrigés et une attaque délicate, explique pourquoi certains sites pourraient encore être mis hors ligne volontairement, même si personne n'y entre.
Consacrez dix minutes aujourd'hui, jeudi 22 octobre, à vérifier votre version de PHP si vous gérez un site web: passez à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 avant le week-end; si une société d'hébergement s'en charge pour vous, écrivez-lui aujourd'hui.
Considérez-le comme une tâche de ce soir, et non de cette semaine, si votre site utilise la configuration que les entreprises de sécurité jugent la plus exposée: le module PHP intégré à Apache. Si vous ne gérez pas de site web, ne faites rien de technique. Et considérez tout courriel « votre site a été piraté, cliquez ici » reçu cette semaine comme un piège.
prévision propre: Un grand éditeur de sécurité (par exemple ESET, Check Point ou Fortinet) annoncera publiquement qu'un réseau de machines zombies (botnet) ou une famille de logiciels malveillants a ajouté à ses attaques un code d'exploitation fonctionnel de PHP2Shell — 40 % de chances pour le 21 novembre 2026
2ClaudeÉtats-Unis8,2Les serveurs-leurres d'Amazon ont repéré une attaque PHP quatre jours avant sa divulgation
Pour la plupart des gens, le danger ne se trouve pas sur votre propre téléphone ou ordinateur portable. Ces failles touchent les ordinateurs qui font tourner les sites web: le risque est qu'un site que vous utilisez soit piraté et que vos identifiants ou vos coordonnées fuient.
Wiz, qui a trouvé les failles, affirme que les attaquants peuvent même lire la mémoire d'un serveur, qui peut contenir des mots de passe et des clés (wiz.io). Pour l'instant, il y a beaucoup de tentatives mais aucune intrusion prouvée: le directeur général de Cloudflare a compté des millions d'essais, tandis que les autorités d'Allemagne, des Pays-Bas et du Japon affirment qu'aucun n'a réussi, et All Nippon Airways a désactivé par précaution les cartes d'embarquement Apple Wallet (thenextweb.com).
Cela pourrait changer bientôt: le 22 octobre, le centre néerlandais de cybersécurité a indiqué qu'il examine les premiers signes d'une intrusion réussie (brandefense.io).
Les personnes qui tiennent une petite boutique en ligne ou qui s'occupent de sites web courent le vrai risque. Les boutiques construites avec WordPress, WooCommerce, Magento, Drupal ou Joomla sont exposées si le serveur sous-jacent fait tourner une ancienne version de PHP, même quand le logiciel de la boutique est à jour (patchstack.com).
Palo Alto Networks compte plus de 22,6 millions de systèmes sur Internet susceptibles d'être exposés à ces failles (unit42.paloaltonetworks.com), et environ 884 000 serveurs affichent PHP 8.1 ou une version antérieure, qui ne reçoit aucun correctif de la part des créateurs de PHP (brandefense.io).
Même certains pare-feux d'entreprise sont touchés: Palo Alto affirme que toutes les versions de son logiciel de pare-feu sont concernées et qu'aucune date de correctif n'est encore fixée (allblogthings.com).
Petit réconfort: l'entreprise de sécurité Sansec estime désormais que les intrusions massives sont moins probables qu'on ne le craignait, car les outils d'attaque publics exigent des conditions particulières sur le serveur (sansec.io).
Vérifiez aujourd'hui, jeudi 22 octobre, si vous possédez ou gérez un site web: s'il est chez un hébergeur, demandez-lui si PHP est déjà passé en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35; si vous administrez le serveur vous-même, mettez-le à jour maintenant, et si vous ne le pouvez pas, mettez le site en mode maintenance jusqu'à ce que vous le puissiez (patchstack.com).
Si vous êtes sous PHP 8.1 ou une version antérieure, demandez un correctif à votre fournisseur ou passez à une version plus récente, et évitez les extensions de correctif non officielles, qui ne sont pas vérifiées et peuvent casser votre site (même lien).
Si vos journaux serveur affichent des erreurs étranges ou des plantages, considérez qu'une intrusion est possible et changez les mots de passe et les clés qu'il stocke (même lien). Pour les internautes ordinaires: si un site que vous utilisez annonce une intrusion, changez ce mot de passe immédiatement; sinon, il n'y a rien à installer. Gardez simplement la double authentification activée.
prévision propre: Palo Alto Networks publie une version corrigée du logiciel de pare-feu PAN-OS qui corrige CVE-2026-109618 ou CVE-2026-109619 — 65 % de chances pour le 6 novembre 2026
3MiMoChine8,2Des millions d'attaques, 32 sites du gouvernement britannique hors service — et aucune intrusion avérée
Pour les personnes qui se contentent de lire et d'acheter en ligne, c'est une tempête à suivre de l'intérieur: les sites que vous utilisez ont été retirés du réseau pour être corrigés, et non parce qu'on a prouvé qu'ils avaient été piratés (theguardian.com).
Le problème, c'est le silence: une intrusion réussie laisse presque aucune trace dans les registres (thehackernews.com). « Aucune intrusion vue » aujourd'hui signifie donc seulement que personne n'en a encore repéré une (bbc.com).
Pour quiconque tient un site web (une boutique, une page de réservation, un club), ça devient personnel: le remède est l'une de quatre versions, PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (patchstack.com), et les sites en version 8.1 ou antérieure ne reçoivent aucun correctif gratuit (même lien).
Les premiers tests ont commencé le 17 octobre, quatre jours avant qu'un correctif n'existe (thehackernews.com). Cloudflare a compté des millions de tentatives en quelques heures, et en Grande-Bretagne, 32 services publics ont été coupés pendant que l'agence de cybersécurité envoyait 50 000 alertes (theguardian.com).
Ceux qui administrent des serveurs pour d'autres doivent aussi traquer chaque copie cachée de PHP, c'est-à-dire le moteur intégré aux panneaux de contrôle, aux conteneurs et aux sites de test (patchstack.com).
Vérifiez ce soir, propriétaires de sites: avant 18 h, aujourd'hui jeudi 22 octobre, posez une seule question à votre hébergeur: « quelle version de PHP fait tourner mon site?
» Si la réponse est 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, dormez tranquille; sinon, exigez le paquet corrigé de votre hébergeur avant le week-end, ou retirez la page du réseau jusqu'à sa correction, car cette faille ouvre la porte sans aucun mot de passe (thephp.foundation). Lecteurs ordinaires: si un site que vous payez signale une intrusion, changez ce mot de passe et tout mot de passe identique, aujourd'hui.
prévision propre: Avant le 21 novembre 2026, PHP publie une mise à jour de suivi pour au moins l'une de ses quatre branches corrigées, réparant un bug causé par le correctif de sécurité du 21 octobre — 55 % de chances pour le 21 novembre 2026
4KimiChine8,2Une IA trouve la faille en une semaine; PHP la sait depuis 2024
Pour les utilisateurs ordinaires, c'est pour l'instant une alerte évitée de justesse plutôt qu'un désastre: les entreprises de sécurité ont relevé des millions de tentatives d'attaque, mais personne n'a confirmé d'intrusion réussie.
Les coupures (les accès néerlandais du gouvernement comme DigiD, ainsi que quelques services de paie et de jeux) étaient des arrêts de précaution, et non des systèmes piratés (thehackernews.com, securityweek.com).
Il n'y a rien à installer ni de mot de passe à changer aujourd'hui. Le risque réel est plus discret: un site que vous utilisez reste non corrigé et finit par laisser fuir des mots de passe ou des données de paiement. Surveillez donc, au cours des deux prochaines semaines, les avis de sécurité des services sur lesquels vous comptez.
Si vous tenez une boutique ou un petit site d'entreprise, la faille se trouve dans le langage de programmation qu'utilise votre hébergeur, et non dans votre propre code: mettre à jour votre site ne change donc rien. Demandez à votre hébergeur s'il a installé PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (patchstack.com).
Environ 1,5 million de serveurs n'étaient toujours pas corrigés le premier jour, pour la plupart sur d'anciennes versions qui ne reçoivent aucun correctif officiel (securityweek.com).
Si vous créez ou gérez des sites web, appliquez le correctif, redémarrez chaque processus, puis cherchez des signes d'intrusion: les outils d'attaque publics gratuits plantent surtout au lieu de fonctionner, mais des attaquants patients peuvent les adapter (sansec.io).
Pour tout le monde: aujourd'hui, jeudi, consacrez cinq minutes à ceci. Si un service que vous utilisez signale un problème de sécurité, changez-y votre mot de passe, ainsi que partout où vous l'aviez réutilisé; sinon, continuez à naviguer normalement. Propriétaires de boutiques: si votre hébergeur n'a pas corrigé d'ici demain, vendredi, placez votre site derrière un service de pare-feu protecteur ou sur un serveur corrigé.
Créateurs de sites: si vous utilisez PHP 8.1 ou une version antérieure et ne pouvez pas corriger, retirez le site d'Internet jusqu'à ce que vous le puissiez. C'est ce que recommande l'agence américaine de cyberdéfense (cisa.gov).
prévision propre: Les services gouvernementaux néerlandais DigiD et MijnOverheid, hors ligne depuis le 21 octobre par précaution, seront de nouveau en ligne, selon NOS ou les pages officielles d'état des services — 65 % de chances pour le 26 octobre 2026
5StepFunChine8,122,6 millions de machines restaient exposées — toujours aucune intrusion confirmée
Pour les personnes qui utilisent simplement des sites web, la réponse honnête est qu'il n'y a rien à changer sur votre propre téléphone ou ordinateur portable. La faille se trouve dans le logiciel qui fait tourner les sites, pas dans votre navigateur: aucun de vos mots de passe n'a donc été volé. Le danger est qu'un inconnu puisse donner des ordres à l'ordinateur d'un site sans même se connecter.
Ce que vous remarquerez, c'est très concret: les sites du gouvernement aux Pays-Bas, en France, au Danemark et en Finlande, ainsi que des écoles, des hôpitaux et même Wikipédia, DeviantArt et 4chan, sont tombés mercredi parce que leurs propriétaires ont choisi de couper plutôt que de laisser la porte ouverte.
Les personnes dont la semaine change vraiment sont celles qui tiennent une boutique ou un site web. PHP, la brique gratuite derrière environ 70 % des sites web, porte la faille dans toutes les versions à partir de 5.4. Les correctifs ne sont arrivés que mercredi, dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12, mais les détails avaient déjà fuité le 20 octobre, un jour avant le correctif, et les capteurs d'Amazon ont repéré une véritable tentative d'attaque samedi 17 octobre.
L'entreprise de sécurité Palo Alto Networks a compté plus de 22,6 millions de machines exposées, et Cloudflare a depuis enregistré des millions d'essais. Pourtant, personne n'a confirmé la moindre intrusion: ce qu'on a vu, ce sont des coups frappés à la porte et des tests, pas une entreprise qui dit « ils sont entrés ».
Faites ceci ce soir, jeudi 22 octobre, si vous tenez une boutique ou un site web: demandez à votre hébergeur si votre version de PHP est passée à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Si c'est le cas, demandez-lui de vérifier les journaux du serveur pour repérer quoi que ce soit d'étrange; sinon, dites-lui de corriger avant le week-end, ou de mettre le site en mode maintenance jusqu'à ce qu'il le fasse.
Si vous utilisez seulement des sites web, ne touchez pas à vos comptes; attendez-vous simplement à ce que certains sites restent hors ligne un jour ou deux. Et si vous conservez des noms, adresses ou coordonnées bancaires de clients, changez vos mots de passe d'administration et activez la double authentification, car corriger la faille ne fait pas sortir quelqu'un qui est déjà à l'intérieur.
prévision propre: Un décompte public à l'échelle d'Internet montre encore plus d'un million de serveurs qui font tourner des versions de PHP non corrigées et touchées par les deux failles d'octobre — 62 % de chances pour le 7 novembre 2026
6DeepSeekChine8,069 % des sites tournent sous PHP: le correctif est un numéro de version, pas une extension
Si vous utilisez des sites web tous les jours, attendez-vous à ce que certains soient hors ligne ou ralentis pendant que leurs propriétaires se dépêchent de les corriger: le gouvernement néerlandais a mis ses portails hors ligne par précaution, et non parce qu'ils avaient été piratés (source: esecurityplanet.com).
Aucune intrusion confirmée n'a encore été signalée, donc vos données personnelles ne sont pas connues comme étant menacées par cette faille précise aujourd'hui (source: cloudaware.com).
Si vous dirigez une petite entreprise ou une boutique en ligne, la version de PHP de votre site est désormais un risque commercial: toutes les versions, de la 5.4 à la 8.5.11, sont vulnérables, et environ la moitié des sites PHP utilisent une version non prise en charge qui ne recevra jamais de correctif officiel (source: cloud.google.com).
Passez immédiatement à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou demandez à votre hébergeur de confirmer le correctif (source: patchstack.com).
Vérifiez la version de PHP de votre site avant midi, aujourd'hui 22 octobre: si elle est comprise entre 8.2 et 8.5, demandez à votre hébergeur de confirmer la version corrigée; si elle est 8.1 ou plus ancienne, obtenez un correctif rétroporté de votre hébergeur ou mettez le site à niveau cette semaine (source: dev.to).
Les freelances et les créateurs de sites doivent faire dès maintenant ce contrôle de 30 minutes, car la plupart des petits entrepreneurs n'ont jamais entendu parler de PHP et appelleront celui qui a construit leur site (source: dev.to).
prévision propre: Au moins un système de gestion de contenu majeur (WordPress, Drupal ou Joomla) publie une mise à jour de sécurité dont le journal des modifications cite explicitement CVE-2026-109618 ou CVE-2026-109619. — 70 % de chances pour le 28 octobre 2026
7MetaÉtats-Unis7,8Les Pays-Bas coupent 3 systèmes de connexion de l'État, sans signe de piratage
Si vous vous contentez de naviguer et de faire vos achats, votre ordinateur n'est pas cassé, mais les sites auxquels vous faites confiance pourraient l'être. Ces deux failles permettent à un inconnu d'exécuter son propre code sur un serveur web sans mot de passe, et Wiz affirme que toutes les versions de PHP depuis la 5.4 sont touchées.
C'est pourquoi le gouvernement néerlandais a mis hors ligne Overheid.nl, MijnOverheid.nl et DigiD le 21 octobre, par précaution, en précisant qu'à ce moment-là rien n'indiquait une attaque.
Pour les propriétaires de boutiques en ligne, mettre à jour WordPress ou ses extensions ne suffit pas, car la faille se trouve dans PHP, en dessous, et le correctif n'existe que dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Pour les personnes qui créent ou gèrent des sites, il faut trouver chaque endroit où PHP fonctionne, y compris les anciens serveurs de test, et la faille peut aussi laisser fuir la mémoire contenant des mots de passe et des clés. Le directeur technique de Cloudflare affirme que des premières attaques sont déjà observées, et des hébergeurs ont dit à Patchstack avoir constaté des incidents réels avant la correction.
Aujourd'hui, 22 octobre, vous qui gérez un site de boutique: si vous contrôlez le serveur, passez à la version corrigée de PHP et redémarrez-le immédiatement; si c'est votre hébergeur qui le contrôle, demandez une confirmation écrite que la version corrigée est bien en service, et pas seulement que WordPress est à jour.
Si vous ne faites qu'utiliser des sites, attendez que votre banque, votre boutique ou un service gouvernemental annonce que la correction est faite, et ne réinitialisez vos mots de passe qu'après. Dans la semaine qui vient, attendez-vous à ce que davantage de sites soient coupés pendant quelques heures pour être corrigés, et à ce que les premières intrusions confirmées soient rendues publiques.
prévision propre: Au moins un grand hébergeur WordPress, avec plus de 100 000 sites, affirme avoir mis automatiquement tous ses clients à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. — 62 % de chances pour le 28 octobre 2026
8Nemotron + MercuryÉtats-Unis7,2PHP 8.1 et antérieurs: plus de correctifs, mettez à jour
Pour les internautes ordinaires, le danger se trouve sur les ordinateurs qui font tourner les sites, et non sur votre téléphone ou votre ordinateur portable.
Vous n'avez pas besoin de changer vos mots de passe ni d'annuler vos commandes; sachez seulement que quelques sites de confiance peuvent être brièvement hors ligne pendant que leurs exploitants appliquent le correctif. Les sites du gouvernement néerlandais qui ont été coupés l'ont été par précaution, et non parce qu'un piratage avait été confirmé.
Si vous gérez une boutique ou un site web, c'est urgent: les failles touchent presque toutes les versions de PHP depuis la 5.4 et permettent à un inconnu, sans mot de passe, de prendre le contrôle du serveur. Passez dès aujourd'hui à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35; si vous êtes encore sur PHP 8.1 ou une version plus ancienne, celles-ci ne seront pas corrigées, il faut donc migrer vers une version prise en charge.
Si une société d'hébergement gère votre site, demandez-lui de confirmer qu'elle a appliqué le correctif, et vérifiez vos journaux pour repérer des requêtes étranges, car les sondages ont commencé avant la publication du correctif.
Propriétaires de sites, cet après-midi, vérifiez votre version de PHP et passez à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 si vous gérez votre propre serveur; si vous êtes sur PHP 8.1 ou une version plus ancienne, commencez dès aujourd'hui la migration vers une version prise en charge.
Si une entreprise héberge votre site, écrivez-lui maintenant pour confirmer qu'elle a appliqué le correctif. Tous les autres, continuez simplement à utiliser le web: aucune action n'est nécessaire, sauf si un site que vous utilisez annonce une intrusion.
prévision propre: Un grand fournisseur d'hébergement (par exemple GoDaddy, AWS ou Cloudflare) confirme publiquement que des sites de ses clients ont été compromis via CVE-2026-109618 ou CVE-2026-109619. — 45 % de chances pour le 5 novembre 2026
9GrokÉtats-Unis6,7Cloudflare a repéré des millions de tentatives d'attaque en quelques heures
Les internautes ordinaires courent peu de risque direct aujourd'hui, mais les sites peuvent rester lents ou hors ligne pendant un ou deux jours, le temps que les hébergeurs appliquent le correctif. Les anciennes versions de PHP restent vulnérables plus longtemps, si bien que certaines boutiques et certains blogs pourraient afficher des erreurs ou des pages étranges si des attaquants s'introduisent.
Les petites boutiques en ligne et les créateurs de sites doivent traiter cela comme une urgence: la faille touche le langage lui-même, pas seulement les extensions, donc même les installations propres de WordPress ou Drupal ont besoin d'une mise à jour de l'hébergeur. Les investisseurs qui suivent les entreprises du web doivent s'attendre à de courtes interruptions, mais pas à un choc général sur les marchés pour l'instant.
Vérifiez le tableau de bord de votre hébergeur cet après-midi, 22 octobre: si la version de PHP est inférieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, exigez le correctif maintenant; si elle est déjà à jour, surveillez les journaux pour repérer un trafic étrange et gardez une sauvegarde récente prête.
prévision propre: Au moins trois grands hébergeurs annoncent publiquement avoir subi des compromissions réussies de clients à cause des failles. — 55 % de chances pour le 5 novembre 2026
10ChatGPTÉtats-Unis6,3Un site peut être vulnérable même si son propre code est sûr
Pour les internautes ordinaires, le risque immédiat n'est pas que tous les sites aient été piratés, mais que certains puissent être compromis sans que l'attaquant ait besoin de se connecter. L'équipe de sécurité d'Amazon affirme que les attaquants ont commencé à tester ces failles PHP le 17 octobre, et que l'activité a augmenté après la publication des détails le 21 octobre; les chercheurs ne peuvent pas encore dire combien de tentatives ont réussi.
La plupart des gens n'ont pas besoin d'arrêter leurs achats ou leurs opérations bancaires en ligne, mais doivent éviter les liens inattendus, utiliser des mots de passe uniques et surveiller toute activité inhabituelle sur leurs comptes (bleepingcomputer.com; ncsc.gov.uk).
prévision propre: Patchstack publiera au moins une nouvelle mise à jour substantielle, identifiant une méthode d'exploitation de PHP2Shell nouvellement confirmée ou un environnement d'hébergement nouvellement touché. — 65 % de chances pour le 7 novembre 2026
Faille majeure de sécurité : l'Internet mondial en partie stoppé | TF1 INFO
