Le 21 octobre 2026, le CERT-FR, le centre d'alerte de l'ANSSI, a publié une alerte sur deux failles critiques de PHP. Le lendemain, il indiquait connaître des preuves de concept, c'est-à-dire des démonstrations techniques montrant que l'attaque fonctionne.
Pourquoi cette alerte concerne votre entreprise
PHP est un langage de programmation qui fait fonctionner un très grand nombre de sites internet. Votre site vitrine, votre boutique en ligne, votre extranet client ou votre outil de prise de rendez-vous l'utilisent peut-être sans que vous le sachiez.
Le risque mentionné par le CERT-FR est l'exécution de code à distance : un attaquant pourrait prendre le contrôle du serveur qui héberge le site. Selon la FNCCR, qui a relayé l'alerte, les conséquences peuvent aller de l'indisponibilité du site au vol de données, jusqu'à la prise de contrôle du système d'information et l'interruption de l'activité. Les sites transactionnels, ceux qui traitent des données sensibles ou qui sont connectés à des systèmes internes sont les plus exposés.
D'après la presse spécialisée, des chercheurs affirment avoir réussi l'attaque sur des sites WordPress, Drupal et Joomla. Ce sont des outils très répandus dans les PME.
Les versions concernées
Selon le CERT-FR, sont touchées :
- toutes les versions 5.x, 7.x, 8.0.x et 8.1.x, qui ne sont plus maintenues par l'éditeur ;
- les versions 8.2, 8.3, 8.4 et 8.5 antérieures aux versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Pour les anciennes versions, il n'existe pas de version officielle corrigée. Certaines distributions Linux proposent toutefois des paquets corrigés.
Les bonnes pratiques à appliquer dès maintenant
- Faites la liste de vos sites et applications web. Notez pour chacun qui l'héberge et qui le maintient : agence, hébergeur, équipe interne.
- Interrogez vos prestataires par écrit. Demandez la version de PHP utilisée et la date de la mise à jour. Une réponse claire et datée vaut mieux qu'un « on s'en occupe ».
- Mettez à jour sans attendre. C'est la recommandation principale du CERT-FR : passer à une version maintenue qui intègre les correctifs.
- Isolez ce qui ne peut pas être mis à jour. Le CERT-FR recommande d'isoler les équipements affectés. Les contournements techniques proposés réduisent le risque mais ne le suppriment pas.
- Planifiez la sortie des versions obsolètes. Un site sous une version ancienne de PHP ne recevra plus de correctifs. Sa refonte devient un sujet de sécurité, pas seulement de communication.
- Surveillez les signes anormaux. La FNCCR conseille de repérer les pages modifiées, les messages étranges, les lenteurs inhabituelles et persistantes ou les requêtes inattendues.
Si votre site traite des données personnelles, une compromission peut aussi entraîner des obligations au titre du RGPD. D'autres textes, comme NIS2, peuvent s'appliquer selon votre activité, votre taille et les textes en vigueur.
En résumé
Cette alerte rappelle une règle simple : un site internet est un logiciel, et il doit être entretenu. La plupart des entreprises n'ont pas besoin d'expertise technique pour agir. Elles ont besoin de savoir quels sites elles possèdent, qui s'en occupe, et de poser les bonnes questions. Quelques e-mails envoyés cette semaine peuvent réduire nettement votre exposition.
👉 Pour savoir quels sites et applications votre entreprise utilise réellement : Connaissez-vous vraiment tous les systèmes qui composent votre entreprise ?
👉 Pour préparer la reprise si un serveur est compromis : Votre entreprise survivrait-elle à une semaine sans systèmes informatiques ?
👉 Une autre alerte récente sur des équipements exposés sur internet : Pourquoi vos équipements connectés peuvent-ils arrêter votre activité ?