Réalité de la menace de sécurité
La vulnérabilité PHP2Shell, composée de deux failles logicielles (CVE-2026-109618 et CVE-2026-109619), continue de constituer une menace existentielle pour l'infrastructure web. Bien qu'elle ait reçu un niveau de gravité très élevé (9,2) selon l'échelle CVSS, la réponse des organisations aux processus de correction reste alarmante par sa faiblesse.
Selon les données de la société Ox Security, environ 93,6 % des systèmes sont toujours vulnérables aux intrusions cinq jours après la découverte de la faille. Les chercheurs affirment que le rythme des correctifs reste extrêmement lent, laissant les actifs numériques sensibles exposés aux attaquants.
Pourquoi cette nouvelle est-elle importante ?
La gravité de la situation réside dans le fait qu'environ 70 % des sites utilisant des langages de programmation côté serveur dépendent de PHP. Des études menées par des entreprises de sécurité telles que Censys et Flare indiquent l'existence de millions de services fonctionnant avec des versions de PHP non supportées, ce qui signifie qu'ils ne recevront pas de mises à jour de sécurité officielles et nécessiteront un effort technique plus important pour passer à des versions sécurisées.
Les défis auxquels sont confrontées les équipes de sécurité comprennent :
- Dépendance à des versions obsolètes : Les estimations indiquent que plus de 70 % des services scannés fonctionnent avec des versions de PHP qui ne sont plus supportées par le projet principal.
- Complexité de la mise à jour : La mise à jour des systèmes hérités nécessite de résoudre des problèmes de compatibilité et de mettre à jour les applications, ce qui est bien plus complexe que la simple application d'un correctif logiciel.
- Escalade des attaques : La société Cloudflare a observé un bond massif des tentatives d'exploitation, passant de milliers de tentatives avant l'annonce de la faille à des millions de tentatives actuellement.
Mesures gouvernementales et restrictions
Face à ce relâchement, des agences gouvernementales ont pris des mesures décisives, l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ayant imposé aux agences fédérales civiles de traiter la vulnérabilité d'ici le 29 octobre 2026. La faille a également entraîné la fermeture permanente de certaines plateformes basées sur PHP en raison de l'incapacité à les sécuriser.
Les experts soulignent que le recours au patching manuel n'est plus suffisant face à cette large diffusion des attaques, et que les organisations utilisant toujours des versions non supportées font face à un risque imminent de compromissions réussies.