Faille PHP et Freebox : que faire ce mercredi ? PHP fait tourner une bonne partie du web, de WordPress aux boutiques en ligne. Mardi 20 octobre au matin, un utilisateur du forum Hacker News, sous le pseudonyme « petecooper », y annonce deux vulnérabilités critiques. Le billet a été supprimé, mais les captures circulent encore : une note de 10 sur 10 y est évoquée, avec une divulgation prévue le 22 octobre à 18 h, et un outil baptisé PHP2Shell, présenté comme capable de prendre le contrôle de sites WordPress, Drupal, Magento ou Joomla.
Dans l’après-midi, les chercheurs en sécurité de watchTowr, une entreprise singapourienne, confirment que les deux failles sont réelles et disent avoir reproduit la première, avec la note maximale. Le soir même, l’équipe de sécurité de PHP officialise : le correctif sort ce mercredi à 14 h UTC, soit 16 h heure de Paris, pour deux vulnérabilités notées 9,2 sur 10. L’équipe se réserve le droit d’avancer la sortie si les détails deviennent publics ou si une exploitation active est détectée.
Les deux bugs, CVE-2026-109618 et CVE-2026-109619, sont des exécutions de code à distance : une requête web bien formée suffirait à faire exécuter n’importe quelle commande par le serveur. La fuite évoque toutes les versions depuis PHP 5, sorti en 2004, mais PHP n’a rien confirmé. Un point est acquis : seuls les serveurs sous PHP 8.2 et plus récents recevront un correctif officiel. Or 27 % des sites PHP tournaient encore sur PHP 7 au 20 octobre, et 7,7 % sur PHP 5, selon W3Techs. Plus d’un site PHP sur trois ne verra donc jamais le patch.
Ce que ça change pour vous
Vous êtes abonné Free ? Quatre gestes concrets, par ordre de priorité :
- Vérifiez l’accès distant à votre Freebox. Si l’accès à distance à Freebox OS est activé et que vous ne l’utilisez pas, désactivez-le. C’est ce qui réduit le plus votre surface d’exposition en attendant les précisions de l’opérateur. Le réglage se trouve dans les paramètres de la box, en « Mode avancé », rubrique « Gestion des accès ».
- Redémarrez votre boîtier dès que Free pousse une mise à jour. Un simple redémarrage suffit généralement à forcer l’installation d’un correctif.
- Pour vos achats en ligne des prochains jours, privilégiez Apple Pay, PayPal ou une carte virtuelle plutôt que de taper votre numéro de carte directement sur un site, le temps que les boutiques appliquent le correctif.
- Si vous gérez un site web, vérifiez votre version de PHP et prévoyez une fenêtre de maintenance cet après-midi. Sur un hébergement mutualisé, la mise à jour dépend de votre hébergeur : demandez-lui quand il compte l’appliquer.
La fuite est partie d’un message sur Hacker News, supprimé depuis, accompagné d’une vidéo montrant un outil baptisé PHP2Shell. (Photo d’illustration.)
Pourquoi la France est-elle en première ligne de cette faille PHP ?
Infrawatch, une entreprise londonienne qui scanne Internet, a compté 11 millions de services PHP actifs sur 4,38 millions d’adresses IP au cours des dernières 48 heures. La France pèse à elle seule près de 62 % de cette empreinte, huit fois plus que les États-Unis, deuxièmes du classement.
Le moteur de cette exposition record s’appelle Freebox. L’interface d’administration de Freebox OS, qui tourne en PHP, répond publiquement sur Internet. La presse tech estime que près de deux millions de box françaises seraient ainsi exposées, et le réseau de Free pèserait à lui seul treize fois plus de services exposés que le deuxième du classement, la filiale italienne du même groupe.
Exposé ne veut pas dire vulnérable. Personne ne connaît la version de PHP embarquée dans Freebox OS, et Free n’avait encore rien communiqué mercredi matin. Si un correctif s’impose pour les box, il arrivera via une mise à jour poussée par l’opérateur. En attendant, tout dépend de la publication des détails techniques, prévue à 16 h, et de la confirmation d’un éventuel impact sur Freebox OS.
Vos données bancaires sont-elles en danger ?
La réponse est nuancée. Aucun exploit public n’a été authentifié à ce jour, et Huntress n’avait observé aucune attaque chez ses clients au 20 octobre. Les chercheurs de Sansec, spécialisés dans la sécurité des boutiques en ligne, s’attendent en revanche à des attaques de masse dans le quart d’heure suivant la publication du correctif : il suffira aux pirates de comparer l’ancien et le nouveau code pour localiser précisément les failles.
Le risque réel dépend des prochaines heures : les sites qui appliquent le patch à 16 h seront protégés, les autres deviennent des cibles faciles dès la fin d’après-midi. D’où la recommandation des spécialistes : pour vos achats en ligne d’aujourd’hui et de demain, utilisez des moyens de paiement qui ne dévoilent pas votre numéro de carte, comme Apple Pay, PayPal ou une carte virtuelle à usage unique.
« PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence. » The PHP Foundation, 20 octobre 2026.
Quand sort le correctif et que va-t-il changer ?
Le correctif officiel sort aujourd’hui à 16 h, heure de Paris, dans la rubrique actualités de php.net. L’équipe s’est réservé le droit de le publier plus tôt si les détails techniques fuitaient davantage ou si une exploitation active était repérée.
Une fois la publication effectuée, les administrateurs devront mettre à jour leurs serveurs dans la foulée. Les versions concernées seront annoncées en même temps que le correctif. Pour les sites sous PHP 8.1 et antérieur, aucune mise à jour officielle n’est prévue : la seule solution est de migrer vers une branche maintenue. Quant aux abonnés Free, tout dépend désormais de la communication de l’opérateur : redémarrez votre box dès qu’une mise à jour est disponible.
Près de deux millions de Freebox françaises exposeraient leur interface d’administration sur Internet, d’après les estimations reprises par la presse tech. (Photo d’illustration.)
Le web français n’avait pas connu une alerte de cette ampleur depuis la faille Log4j, fin 2021. À l’époque, la course entre les administrateurs et les pirates avait duré des semaines. Cette fois, le préavis est de moins de 24 heures.