Le mercredi 21 octobre 2026, des autorités ont lancé des alertes d’une ampleur inhabituelle au sujet des failles critiques CVE-2026-109618 et CVE-2026-109619. Ces vulnérabilités PHP sont connues sous le nom de php2shell. Les développeurs de PHP ont publié un avis de sécurité urgent. L’importance de la mobilisation rappelle les épisodes Heartbleed et Shellshock dans Bash.

Le BSI allemand a recommandé aux organisations de couper les sites concernés jusqu’à la disponibilité des paquets corrigés. L’agence américaine CISA a soutenu cette consigne. Reuters a signalé la mise hors ligne de sites gouvernementaux au Danemark et en Finlande. La France et les Pays-Bas ont appliqué la même mesure, selon cette agence. En Allemagne, la Charité a retiré l’ensemble de son site. Une partie de berlin.de a été désactivée et la Freie Universität Berlin a limité certains services informatiques. Le site Internetwache de la police berlinoise était inaccessible, d’après la dpa. Des sites d’administrations et de services de police ont également été touchés en Bavière et en Basse-Saxe. La NDR a indiqué que certains sites du nord de l’Allemagne étaient de nouveau accessibles.

Les spécialistes de la sécurité ont constaté de nombreuses tentatives d’exploitation à partir de mercredi. Cloudflare a déclaré à Reuters avoir détecté des millions de tentatives, commencées environ dix heures avant la publication des détails à 16 h, heure locale. Amazon a parlé d’une exploitation généralisée sur Internet. Son équipe de renseignement sur les menaces avait déjà observé des tentatives quatre jours avant la divulgation, selon l’entreprise. Amazon ignore comment les attaquants ont obtenu les informations nécessaires. Une autre faille d’upload de fichiers pourrait être liée à cette activité. Aucune attaque réussie n’avait été confirmée au moment de la publication.

Les paquets mis à jour sont apparus progressivement mercredi soir. Debian les a publiés après 21 h. Fedora et Gentoo ont suivi dans la soirée, avec Ubuntu et Red Hat. Slackware a fourni ses paquets peu avant la publication de l’article, tandis que SUSE venait tout juste de rendre les siens disponibles. Les administrateurs doivent installer rapidement les mises à jour et vérifier la présence éventuelle de PHP sur leurs systèmes. Sur des Raspberry Pi et d’autres ordinateurs monocartes utilisés comme petits serveurs, PHP peut avoir été installé comme dépendance d’un logiciel. L’article envisage que la mise hors ligne de sites devienne une réponse défensive plus courante si la recherche de vulnérabilités assistée par IA continue de révéler des failles graves.