Cyberattaque : deux failles informatiques majeures sement la panique

Une importante alerte de cybersécurité mobilise depuis mercredi 21 octobre les administrateurs informatiques, les hébergeurs et les organismes publics. Deux vulnérabilités critiques découvertes dans PHP pourraient permettre à des pirates informatiques de prendre le contrôle de serveurs à distance, sans disposer d'identifiants de connexion.

En France, plusieurs services institutionnels ont été temporairement rendus inaccessibles par précaution, afin de permettre aux équipes techniques d'effectuer les vérifications et les mises à jour indispensables.

La Ville de Paris figure parmi les collectivités ayant annoncé des mesures de précaution.

À Mayotte, les sites de la préfecture et de la CSSM également indisponibles

À Mayotte, les sites internet de la préfecture et de la Caisse de sécurité sociale de Mayotte (CSSM) sont également signalés comme inaccessibles.

Ces interruptions touchent deux organismes essentiels au fonctionnement administratif et social du territoire.

Le site de la préfecture permet notamment aux habitants d'accéder à des informations sur les démarches administratives, les titres de séjour, les services de l'État et les procédures réglementaires.

Celui de la CSSM constitue un point d'accès important pour les assurés sociaux, les employeurs et les professionnels qui souhaitent obtenir des informations sur leurs droits, leurs cotisations ou leurs prestations.

Ces indisponibilités interviennent dans un contexte national de fermetures préventives liées aux vulnérabilités PHP. Toutefois, en l'absence de confirmation technique des organismes concernés, il n'est pas possible d'affirmer que ces deux sites ont été fermés précisément en raison de ces failles.

Une interruption préventive ne signifie pas nécessairement qu'un site a été piraté ou que des données personnelles ont été compromises.

Pour les usagers mahorais, ces perturbations peuvent néanmoins compliquer l'accès aux informations et aux démarches administratives dématérialisées.

Deux failles qui peuvent permettre de prendre le contrôle d'un serveur

Les deux vulnérabilités, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ont été regroupées sous le nom de « PHP2Shell ».

Elles présentent un danger particulièrement élevé : un attaquant pourrait exécuter à distance des instructions sur un serveur vulnérable, sans posséder de compte utilisateur ni connaître de mot de passe.

La première faille concerne la gestion de la mémoire lorsque PHP rencontre certaines situations d'épuisement de ressources.

La seconde provient d'informations conservées en mémoire après le traitement d'une requête, alors qu'elles devraient normalement être réinitialisées.

Dans les deux cas, une exploitation réussie pourrait permettre à un pirate d'exécuter du code avec les droits du processus web.

Les conséquences peuvent être importantes : modification d'un site internet, consultation ou vol de données confidentielles, installation de logiciels malveillants ou utilisation d'un serveur compromis pour mener d'autres attaques.

Une divulgation précipitée par une fuite

La publication de ces vulnérabilités devait initialement intervenir dans un cadre coordonné, afin de laisser aux développeurs et aux administrateurs le temps de préparer les correctifs.

Mais des informations ont commencé à circuler publiquement avant la date prévue. Face au risque d'exploitation, les équipes chargées de PHP ont avancé la publication des mises à jour au mercredi 21 octobre.

Cette situation a placé de nombreux responsables informatiques devant un choix difficile : maintenir les services accessibles en attendant de terminer les corrections, ou suspendre temporairement leur fonctionnement pour réduire les risques.

Plusieurs administrations ont choisi la seconde option.

L'intelligence artificielle a participé à la découverte

Cette affaire illustre également la place croissante de l'intelligence artificielle dans la cybersécurité.

Selon les informations communiquées autour de cette découverte, des outils d'intelligence artificielle ont contribué aux recherches ayant permis d'identifier les vulnérabilités. Des équipes spécialisées en sécurité informatique ont également travaillé indépendamment à leur identification et à leur signalement.

L'intelligence artificielle permet aujourd'hui d'analyser rapidement de grandes quantités de code informatique et de détecter des erreurs parfois difficiles à repérer avec les méthodes traditionnelles.

Mais les mêmes technologies peuvent également aider des acteurs malveillants à rechercher des vulnérabilités ou à accélérer certaines étapes de préparation d'une attaque.

Cette évolution réduit potentiellement le délai dont disposent les éditeurs de logiciels et les administrateurs pour corriger les systèmes exposés.

Quels sites sont concernés ?

PHP est utilisé par de très nombreux sites internet et applications, notamment des plateformes développées avec WordPress, Drupal ou d'autres systèmes de gestion de contenu.

Les vulnérabilités concernent le fonctionnement de PHP lui-même, et pas uniquement une application particulière.

Les administrateurs doivent donc examiner les versions réellement utilisées par leurs serveurs, y compris lorsque PHP est intégré à des conteneurs ou à des logiciels tiers.

Les versions corrigées publiées le 21 octobre sont :

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Les anciennes branches de PHP ne sont plus maintenues directement par le projet. Certains fournisseurs de systèmes d'exploitation peuvent néanmoins proposer leurs propres correctifs de sécurité.

Quels risques pour les internautes et les usagers mahorais ?

Pour le grand public, ces vulnérabilités ne signifient pas qu'un ordinateur personnel ou un téléphone est directement compromis.

Le risque concerne avant tout les serveurs et les applications web utilisant une version vulnérable de PHP.

En cas de compromission d'un service, des informations personnelles pourraient toutefois être exposées.

Les cybercriminels pourraient également profiter de la confusion provoquée par les interruptions pour diffuser de faux messages de réactivation de comptes ou de réinitialisation de mots de passe.

Les usagers de la préfecture et de la CSSM doivent donc rester particulièrement vigilants face aux courriels ou SMS prétendant annoncer le rétablissement d'un service ou demander une nouvelle connexion.

Il est préférable de rejoindre directement les sites officiels plutôt que de suivre des liens reçus dans des messages inattendus.

Une course contre la montre pour les administrations et les hébergeurs

Pour les entreprises, administrations et hébergeurs, la priorité consiste désormais à identifier les installations concernées et à appliquer les correctifs.

Une simple mise à jour du site internet ne suffit pas nécessairement : c'est le moteur PHP exécuté par le serveur qui doit être corrigé.

Les équipes de sécurité doivent également examiner les journaux informatiques et rechercher d'éventuelles activités suspectes. L'installation d'un correctif ne permet pas, à elle seule, de déterminer si une vulnérabilité a déjà été exploitée.

Cette nouvelle alerte rappelle la dépendance d'une grande partie d'Internet à quelques technologies fondamentales.

À Mayotte, où les démarches administratives et sociales reposent de plus en plus sur des services numériques, l'indisponibilité de plateformes institutionnelles souligne également l'importance de disposer de systèmes informatiques sécurisés et de solutions de continuité de service.

Au-delà des interruptions momentanées, l'enjeu est désormais de sécuriser rapidement les infrastructures concernées tout en rétablissant l'accès aux services essentiels pour les entreprises et les habitants du territoire.