Plus de dix jours après la publication de correctifs de sécurité critiques, près de 30 millions de services web fonctionnant sous PHP restent vulnérables dans le monde. La France, avec plus de deux millions de services non mis à jour, occupe la troisième place du classement mondial des pays les plus exposés.
Les chiffres sont éloquents. Au 30 octobre 2026, soit onze jours après la mise en ligne des correctifs destinés à colmater les failles dites PHP2Shell, 29,6 millions de services web exposés sur Internet tournaient encore sur une version vulnérable du langage de programmation. C’est le résultat du scan permanent conduit par la plateforme américaine de cybersécurité Censys, qui surveille l’ensemble des services accessibles en ligne.
La progression de la mise à jour est réelle, mais insuffisante. Le 26 octobre, on recensait encore plus de 32 millions de services non corrigés. Depuis la publication des correctifs le 21 octobre, 12,4 millions de services ont basculé vers une version sécurisée. Le chemin restant à parcourir demeure considérable.
La France figure parmi les pays les moins réactifs. Avec un peu plus de deux millions de services non mis à jour, l’Hexagone se classe troisième au niveau mondial, derrière les États-Unis (9,1 millions de services vulnérables) et l’Allemagne (3,7 millions). Plus préoccupant encore : sur dix services PHP français dont la version est identifiable, huit n’ont toujours pas reçu le correctif, un ratio supérieur à la moyenne mondiale.
Ces estimations doivent être interprétées avec prudence. Elles reposent sur la version de PHP déclarée par les serveurs, or 61 % d’entre eux ne communiquent pas cette information. Certaines distributions Linux corrigent par ailleurs la faille sans modifier le numéro de version affiché. Les chiffres constituent donc une estimation haute, mais représentative de l’ampleur du retard de mise à jour.
La situation est aggravée par le vieillissement du parc logiciel. Sur les 30 millions de services potentiellement vulnérables, environ 24 millions fonctionnent sous PHP 8.1 ou une version antérieure, c’est-à-dire des versions que la PHP Foundation ne maintient plus. Le CERT-FR, rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le rappelle explicitement dans son alerte de sécurité : « l’éditeur n’assure plus le support des versions de PHP 5.x, 7.x, 8.0.x et 8.1.x ». La version la plus répandue sur Internet reste PHP 7.4.33, abandonnée depuis plusieurs années, mais encore présente sur près de sept millions de services.
Face à la gravité des vulnérabilités, l’équipe de sécurité de PHP a pris la décision exceptionnelle de publier des correctifs pour PHP 7.4, 8.0 et 8.1, à intégrer manuellement dans le code source. Pour les versions encore plus anciennes, aucun correctif n’est prévu. La seule issue viable reste une migration vers une version récente du langage, opération bien plus complexe qu’une simple mise à jour.
Des cyberattaques exploitant ces failles sont déjà en cours. Le CERT-FR a recensé plusieurs tentatives d’exploitation sur le territoire français. Les chercheurs de la société Tenable soulignent que ces attaques sont difficiles à mener à grande échelle, chaque intrusion devant être adaptée à la configuration précise du serveur ciblé. Elles peuvent toutefois toucher simultanément de nombreux équipements partageant un même logiciel.
Une première attaque réussie a déjà été documentée. Des pirates liés à la Chine sont parvenus à prendre le contrôle total de 25 serveurs aux États-Unis, au Japon, à Taïwan et en Corée du Sud, en combinant les failles PHP2Shell avec une vulnérabilité du noyau Linux. L’agence américaine de cybersécurité CISA a confirmé que les deux failles sont activement exploitées dans des opérations malveillantes.
Réagir à l’article
Soyez le premier à commenter cet article.