Faille PHP mondiale : des millions de serveurs menacés, les équipes Jolifish mobilisées dès l’alerte

21 octobre 2026 — Cybersécurité

Une alerte de sécurité d’une ampleur exceptionnelle a secoué le Web mondial ce mercredi 21 octobre : une faille PHP touchant le cœur même du langage. Deux vulnérabilités critiques, baptisées PHP2Shell, ont été découvertes dans PHP, technologie utilisée par près de 70 % des sites internet. Elles ont contraint entreprises, hébergeurs et administrations à réagir dans l’urgence. Chez Jolifish, nos équipes ont été mobilisées toute la journée et les correctifs ont été déployés dès leur publication sur l’ensemble de nos infrastructures.

Une faille PHP qui concerne une grande partie du Web

PHP est l’un des langages informatiques les plus répandus sur Internet. Il fait notamment fonctionner des plateformes comme WordPress, Drupal, Joomla et de très nombreuses applications professionnelles.

Les deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619 et regroupées sous le nom de PHP2Shell, ont chacune reçu un score de criticité de 9,2 sur 10.

Leur particularité est préoccupante : elles affectent le cœur même de PHP, indépendamment des applications qui l’utilisent. Dans certaines configurations, elles peuvent permettre à un attaquant d’exécuter du code à distance sur un serveur vulnérable, sans même disposer d’un compte utilisateur.

Pour mesurer l’ampleur de cette menace :

• près de 70 % des sites web utilisent PHP, selon les chercheurs de Wiz ;
• plus de 22,6 millions d’instances exposées potentiellement vulnérables ont été identifiées par Palo Alto Networks ;
• deux vulnérabilités critiques, notées 9,2/10, ont nécessité la publication de correctifs en urgence.

Ces chiffres représentent une surface d’exposition potentielle considérable à l’échelle mondiale. Ils ne signifient toutefois pas que tous ces systèmes ont été compromis.

Des gouvernements et de grands acteurs d’Internet contraints de réagir

La gravité de la situation a entraîné une mobilisation internationale.

L’ICANN, l’organisme chargé notamment de coordonner le système mondial des noms de domaine, a annoncé la suspension temporaire de trois de ses sites administratifs fonctionnant avec PHP, par mesure de précaution. L’éditeur de solutions informatiques N-able a, de son côté, déclenché des fenêtres de maintenance d’urgence pour plusieurs de ses produits.

Cloudflare, l’un des principaux acteurs mondiaux de la sécurité et de la distribution de contenus web, a déployé des protections spécifiques au niveau de ses pare-feu applicatifs.

Des sites gouvernementaux européens ont également été temporairement mis hors ligne afin de limiter les risques, tandis que des chercheurs en cybersécurité ont signalé des tentatives d’exploitation des vulnérabilités.

En France, le CERT-FR a publié une alerte officielle (CERTFR-2026-ALE-014) recommandant d’appliquer les correctifs sans délai et d’isoler les systèmes vulnérables qui ne peuvent pas être mis à jour rapidement.

Lorsque des organismes internationaux et des administrations décident de suspendre temporairement certains services numériques, cela donne une idée du sérieux avec lequel cette menace a été considérée.

Chez Jolifish, une mobilisation dès les premières annonces

Face à cette situation exceptionnelle, nous avons immédiatement mobilisé nos équipes techniques. Dès l’annonce des vulnérabilités, elles ont pris les premières mesures de protection et sont restées mobilisées tout au long de la journée.

Nos interventions ont été organisées autour de trois priorités :

1. Anticiper la menace, en évaluant les risques et en mettant en œuvre les mesures préventives nécessaires.
2. Préparer les infrastructures, afin de permettre une intervention rapide dès la disponibilité des correctifs officiels.
3. Déployer les mises à jour de sécurité immédiatement après leur publication, sur l’ensemble de nos infrastructures.

Les correctifs ont ainsi été déployés sur l’ensemble de nos infrastructures dès leur mise à disposition officielle. Notre objectif : protéger les services web confiés à Jolifish tout en préservant leur continuité de fonctionnement.

Votre site est-il concerné par cette faille PHP ?

• Votre site est hébergé et maintenu par Jolifish : aucune action n’est nécessaire de votre côté, les correctifs sont déjà appliqués.
• Votre site est hébergé ailleurs : vérifiez avec votre hébergeur que PHP est passé à une version corrigée (8.5.12, 8.4.27, 8.3.36 ou 8.2.35 selon la branche).
• Votre site tourne encore sous PHP 8.1 ou une version plus ancienne : ces versions ne sont plus maintenues officiellement. Une migration est à prévoir, et nous pouvons vous accompagner.

La cybersécurité, c’est aussi ce qui se passe lorsque vous ne regardez pas

Cet événement rappelle qu’un site internet, même parfaitement conçu, n’est jamais définitivement à l’abri des vulnérabilités. La sécurité repose sur une surveillance permanente, une maintenance rigoureuse et une capacité à réagir rapidement face aux nouvelles menaces.

C’est aussi tout l’intérêt de confier l’hébergement et la maintenance de ses services web à une équipe qui en assure le suivi dans la durée. Chez Jolifish, nous considérons que notre responsabilité ne s’arrête pas à la livraison d’un site ou d’une application. Elle se poursuit chaque jour, et plus encore lorsque des événements exceptionnels surviennent.

Nous remercions nos équipes pour leur mobilisation et nos clients pour leur confiance.

L’équipe Jolifish

Sources et informations complémentaires

• Wiz Research — PHP2Shell : analyse des vulnérabilités
• Palo Alto Networks Unit 42 — Alerte et estimation des instances exposées
• CERT-FR — Alerte officielle sur les vulnérabilités PHP
• ICANN — Communication officielle sur les suspensions préventives
• Cloudflare — Protections déployées contre les vulnérabilités PHP

Joliredacteur