PHP2Shell : deux failles critiques imposent une mise à jour urgente des serveurs PHP

Le projet PHP a publié le 21 octobre des correctifs pour deux vulnérabilités notées 9,2 sur 10. Dans certaines configurations, elles peuvent permettre à un attaquant non authentifié d’exécuter du code sur un serveur. Pour le Sénégal et le reste de l’Afrique, l’urgence consiste à identifier les installations exposées et à appliquer les versions corrigées. Aucun élément public ne permet, à ce stade, d’affirmer qu’une administration sénégalaise a été compromise.

L’alerte baptisée « PHP2Shell » touche une brique centrale du Web. PHP fait fonctionner de nombreux sites et systèmes de gestion de contenu, dont WordPress, Drupal et Joomla. Selon W3Techs, le langage est utilisé par 69,3 % des sites dont la technologie côté serveur est identifiable. Ce chiffre mesure une part du Web mondial ; il ne permet pas de connaître à lui seul l’exposition des administrations ou des entreprises africaines.

Les deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, se situent dans le moteur PHP lui-même. Elles concernent la gestion de la mémoire et certains états internes laissés après une erreur fatale. Les chercheurs de Wiz ont montré que leur exploitation pouvait conduire, selon la version et la configuration, à la lecture de données en mémoire ou à l’exécution de code à distance sans authentification.

Quatre versions corrigées le 21 octobre

Le projet PHP a publié les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Son avis de sécurité recommande une mise à jour immédiate à tous les utilisateurs et précise que les installations servant des requêtes Web sont concernées, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.

Le niveau de risque n’est toutefois pas identique dans tous les environnements. PHP considère l’exposition particulièrement élevée avec mod_php, configuration pour laquelle une attaque a été démontrée avant même l’exécution du code de l’application. Les chercheurs ont aussi confirmé des scénarios visant PHP-FPM par des chemins liés aux applications.

Les branches PHP 8.1 et antérieures ne reçoivent plus de correctifs directs du projet. Certains distributeurs Linux et fournisseurs de maintenance à long terme peuvent proposer des rétroportages. Les exploitants concernés doivent donc vérifier les paquets fournis par leur prestataire ou migrer vers une version encore prise en charge.

Les mesures temporaires publiées par PHP peuvent réduire certains chemins d’attaque, mais elles ne constituent pas une protection complète. La mise à jour demeure la seule correction présentée comme sûre.

Aucun incident sénégalais confirmé

La portée mondiale de PHP justifie une réponse rapide, mais elle ne prouve pas qu’un système particulier est vulnérable ou déjà compromis. Il faut connaître la version installée, la configuration du serveur, les correctifs fournis par l’hébergeur et l’exposition effective du service.

À ce stade, aucune information publique consultée ne confirme une compromission d’un service de l’État sénégalais liée à PHP2Shell. Il serait donc imprudent de transformer une alerte technique en constat d’attaque.

Pour les usagers, l’enjeu est indirect mais concret : une exploitation réussie pourrait perturber un service en ligne ou exposer des informations présentes dans la mémoire d’un serveur, telles que des jetons d’authentification, des clés d’API ou des mots de passe. Ces conséquences restent des risques techniques documentés, pas des incidents établis au Sénégal.

Trois priorités proposées pour l’Afrique

Dans une prise de position publiée sur l’un de ses canaux de communication, l’ancien ministre sénégalais de la Communication, des Télécommunications et du Numérique, Alioune Sall, appelle les États africains à renforcer leur capacité collective de protection numérique.

Il avance trois priorités : coordonner la réponse au niveau interministériel, renforcer l’entraide entre les centres nationaux de réponse aux incidents et financer durablement la sécurité des services numériques. Son propos relève d’une recommandation de politique publique ; il ne constitue pas l’annonce d’un dispositif gouvernemental déjà engagé.

Pour rendre ces orientations opérationnelles, les administrations auraient besoin d’un inventaire à jour de leurs versions de PHP, d’un classement des services essentiels, d’un suivi des correctifs appliqués par leurs prestataires et de procédures de continuité si une plateforme doit être temporairement isolée.

L’intelligence artificielle accélère la recherche, sous contrôle humain

PHP2Shell illustre aussi la place croissante de l’intelligence artificielle dans la cybersécurité. Wiz indique avoir utilisé plusieurs modèles avancés pour découvrir et tester les vulnérabilités. La PHP Foundation précise que des outils d’IA ont également aidé à valider et regrouper des signalements, tout en rappelant que les décisions, les correctifs et leur examen restent assurés par des spécialistes humains.

La découverte n’est d’ailleurs pas attribuée à une seule équipe. La PHP Foundation cite des contributions de chercheurs de Calif, de Wiz et d’OpenAI, ainsi que des travaux antérieurs menés à la suite d’un audit externe. Les correctifs ont ensuite fait l’objet d’une coordination avec les responsables de PHP et plusieurs acteurs de l’infrastructure Internet.

Pour les pays africains, la leçon dépasse cette crise : les plateformes publiques doivent intégrer dès leur conception un budget de maintenance, des obligations contractuelles de mise à jour, un contrôle des dépendances logicielles et des compétences capables de vérifier les résultats produits par les outils automatisés.

L’efficacité de la réponse se mesurera moins au nombre de communiqués qu’au délai entre l’alerte et la correction réelle des serveurs. Les prochaines informations utiles seront donc l’état des mises à jour chez les hébergeurs, les administrations et les entreprises, ainsi que l’existence éventuelle d’incidents confirmés par les autorités compétentes.