Ce mercredi 21 octobre 2026, des sites gouvernementaux, des plateformes publiques et plusieurs services en ligne ont préféré fermer temporairement plutôt que de risquer un piratage. À l’origine de cette mobilisation inhabituelle : PHP2Shell, deux failles critiques dans PHP, un langage informatique qui fait fonctionner une immense partie du Web. Et le Maroc est lui aussi en état d’alerte.
PHP2Shell : deux failles capables de compromettre un serveur sans mot de passe
PHP est un langage qui travaille dans les coulisses des sites internet. On ne le voit jamais à l’écran, mais il intervient lorsqu’on ouvre un article, remplit un formulaire ou se connecte à un espace personnel.
Le problème ? Deux vulnérabilités, identifiées sous les noms CVE-2026-109618 et CVE-2026-109619, ont été découvertes dans le fonctionnement interne de PHP.
Toutes deux affichent un score de gravité de 9,2 sur 10. Selon l’alerte officielle des développeurs de PHP, leur exploitation peut permettre à un attaquant d’exécuter du code sur un serveur vulnérable sans avoir besoin de s’authentifier.
Concrètement, un pirate pourrait prendre le contrôle de certains processus, accéder à des informations sensibles ou installer des programmes malveillants.
Et contrairement à ce qu’on pourrait penser, le problème ne vient pas uniquement de WordPress.
WordPress, Drupal, Joomla : toute une partie du Web est concernée
WordPress est évidemment dans la liste, mais Drupal, Joomla, Magento, MediaWiki et de nombreuses applications développées avec PHP peuvent également être exposés.
La raison est simple : la faille se trouve dans le moteur PHP, pas dans un thème ou une extension particulière.
Un site Drupal parfaitement mis à jour peut donc rester vulnérable si son serveur utilise une version de PHP non corrigée. Même constat pour WordPress ou une application développée sur mesure.
D’après les statistiques de W3Techs, PHP est utilisé par environ 69,3 % des sites dont le langage côté serveur est identifiable.
Attention à ce chiffre : cela ne veut absolument pas dire que 69,3 % d’Internet a été piraté. Cela montre surtout l’ampleur des systèmes qu’il faut vérifier.
Les administrations préfèrent fermer leurs sites !
C’est l’aspect le plus spectaculaire de cette affaire. La technique de l’autruche est la solution privilégié ici !
En France, plusieurs sites publics, dont ceux de préfectures, ont été temporairement mis hors ligne. Aux Pays-Bas, en Finlande et dans d’autres pays européens, des services institutionnels ont également été suspendus. Des plateformes comme Framasoft ont pris la même décision.
Ces interruptions, rapportées notamment par Reuters, répondent à une logique de précaution.
Un site en maintenance n’est donc pas nécessairement un site piraté. Il peut simplement avoir été désactivé volontairement pour éviter une intrusion.
Une distinction essentielle, surtout lorsqu’il s’agit de services publics.
Au Maroc, la DGSSI déclenche également l’alerte
Le Maroc n’échappe pas à cette crise.
Aujourd’hui, le 21 octobre, la Direction générale de la sécurité des systèmes d’information (DGSSI) a publié le bulletin de sécurité 69782110/26, classant le risque et l’impact de PHP2Shell au niveau critique.
Dans son alerte officielle consacrée à PHP2Shell, la DGSSI prévient qu’un code permettant de démontrer l’exploitation des vulnérabilités est disponible.
Et un chiffre donne une idée de l’exposition potentielle du pays : selon W3Techs, cité par Médias24 dans son analyse de l’alerte marocaine, 75,4 % des sites en .ma dont le langage serveur est identifiable utilisent PHP.
Ca représente une dépendance importante, surtout pour les entreprises et les services numériques qui s’appuient sur cette technologie.
Des informations circulent également sur la mise en maintenance de plusieurs sites administratifs marocains. Toutefois, à ce stade, aucun bilan officiel consulté ne permet d’attribuer précisément ces interruptions à PHP2Shell.
Et il faut éviter de confondre maintenance préventive et cyberattaque confirmée. Le Maroc avait déjà connu un épisode de fortes perturbations autour de la cyberattaque de la CNSS en 2025, mais les deux situations ne doivent pas être assimilées sans preuves.
L’intelligence artificielle a joué un rôle inattendu dans cette découverte
Les signes de l’une des failles avaient déjà été identifiés en 2024, mais sa capacité réelle à permettre une prise de contrôle n’avait pas encore été démontrée.
En 2026, des chercheurs en sécurité, notamment chez Calif, OpenAI et Wiz, ont approfondi les investigations avec l’aide d’outils d’intelligence artificielle.
D’après les explications publiées par la PHP Foundation, ces travaux ont contribué à démontrer la gravité du problème et à accélérer la préparation des correctifs.
Autrement dit, une faiblesse ancienne, difficile à exploiter autrefois, est devenue beaucoup plus préoccupante grâce aux progrès des techniques de recherche en cybersécurité.
L’IA aide aujourd’hui à découvrir des vulnérabilités. Mais les mêmes progrès pourraient aussi aider des attaquants à en rechercher.
Comment protéger son site WordPress ou Drupal ?
Bonne nouvelle : les correctifs officiels sont disponibles depuis le 21 octobre 2026.
Voici les versions PHP corrigées :
| Branche PHP | Version corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Les versions PHP 8.1 et antérieures ne bénéficient plus du support ordinaire du projet PHP. Des correctifs spécifiques peuvent néanmoins être fournis par certaines distributions ou certains hébergeurs.
Pour connaître la version utilisée par WordPress, rendez-vous dans Outils → Santé du site → Informations → Serveur.
Les administrateurs Drupal doivent effectuer la même vérification au niveau de leur hébergement.
Chez OVHcloud, des mesures de protection ont été déployées dès le matin du 21 octobre. L’hébergeur a ensuite annoncé, à 17 h 53 UTC, que les branches PHP 7.4 à 8.5 avaient été corrigées sur l’ensemble de ses clusters. Le traitement de versions plus anciennes se poursuivait.
Il est possible de suivre les interventions sur la page de statut officielle d’OVHcloud.
Pour les propriétaires de sites, trois priorités restent essentielles : vérifier que le moteur PHP est effectivement corrigé, disposer d’une sauvegarde récente et examiner les journaux en cas d’activité suspecte. Une mise à jour de WordPress ou un plugin de sécurité ne remplacent pas le correctif PHP.
Un pare-feu applicatif peut réduire le risque, comme nous l’expliquions dans notre guide sur le rôle de Cloudflare dans la sécurité d’Internet, mais il ne constitue pas une réparation définitive.
Faut-il s’inquiéter si l’on visite simplement un site ?
Pour un internaute ordinaire, PHP2Shell ne signifie pas que son téléphone ou son ordinateur est directement vulnérable.
La menace concerne d’abord les serveurs qui hébergent les sites web.
En revanche, si un service est compromis, des données personnelles pourraient être exposées ou des contenus malveillants diffusés.
Pour l’instant, il n’existe pas de preuve d’un piratage généralisé de tous les sites concernés. Des tentatives d’exploitation ont été signalées, mais il faut distinguer ces tentatives des intrusions réellement confirmées.
Le véritable enseignement de PHP2Shell, c’est qu’une faiblesse cachée dans un logiciel largement utilisé peut obliger des administrations, des hébergeurs et des entreprises du monde entier à réagir en quelques heures.
Et parfois, dans une crise de cybersécurité, la technique de l’autruche , à savoir fermer temporairement un site n’est pas un signe de faiblesse. C’est justement ce qui permet d’éviter le pire.