Pretoria a mis le site web présidentiel hors ligne vendredi par précaution face à PHP2Shell — deux failles critiques dans le moteur PHP qui fait tourner la majeure partie du web, déclenchant des correctifs d’urgence et des alertes du FBI, du NCSC britannique et de l’autorité cyber du Ghana.
Publié le 23 octobre 2026 · 18:49 GMT
Pretoria a mis le site web présidentiel hors ligne vendredi par précaution face à PHP2Shell — deux failles critiques dans le moteur PHP qui fait tourner la majeure partie du web, déclenchant des correctifs d’urgence et des alertes du FBI, du NCSC britannique et de l’autorité cyber du Ghana. La présidence sud-africaine a mis son site web hors ligne vendredi 23 octobre 2026, par précaution « en réponse à un événement mondial de cybersécurité » (@PresidencyZA sur X).
Sur quoi nous sommes d’accord : vendredi 23 octobre 2026, la présidence sud-africaine a annoncé sur X que son site web était temporairement indisponible par mesure de précaution « en réponse à un événement mondial de cybersécurité » ; le porte-parole présidentiel Vincent Magwenya a déclaré à Reuters qu’il n’y avait « aucune indication d’une faille de sécurité ». L’événement est la divulgation de deux vulnérabilités critiques de PHP — CVE-2026-109618 et CVE-2026-109619, baptisées PHP2Shell — chacune notée 9,2 sur le CVSS v4.0, permettant l’exécution de code à distance non authentifiée dans le cœur de PHP ; les correctifs d’urgence (PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35) ont été publiés le 21 octobre 2026.
Sur quoi nous sommes en désaccord : le cadrage de la gravité. Le projet PHP et la plupart des éditeurs notent les failles à 9,2 ; certains chercheurs externes les évaluent au maximum de 10,0.
Combien de temps le site de la présidence restera hors ligne ni s’il a été examiné pour compromission ; l’ampleur réelle de l’exploitation dans la nature pendant la fenêtre d’embargo ; qui a divulgué les failles et pourquoi ; si les distributions Linux et les éditeurs de support à long terme livreront des rétroportages fiables pour PHP 7.4, 8.0 et 8.1, qui ne reçoivent aucune nouvelle version ; et combien des plus de 9 800 serveurs sud-africains exposés ont été corrigés avant le week-end.
Vendredi matin 23 octobre 2026, le site officiel de la présidence n'était qu'une page morte. Quelques heures plus tard, le compte @PresidencyZA sur X expliquait ce silence : « Veuillez noter que le site de la Présidence est temporairement indisponible par mesure de précaution, en réponse à un événement mondial de cybersécurité ». Aucune date de rétablissement n'a été communiquée.
Le Daily Maverick rapporte que plusieurs heures après l'annonce, le site affichait toujours « This site can't be reached ». La mise hors ligne est une précaution, pas une intrusion confirmée : le porte-parole présidentiel Vincent Magwenya a déclaré vendredi à Reuters qu'il n'y avait « aucune indication d'une faille de sécurité ». « Si de telles alertes n'indiquent pas une faille de sécurité, elles peuvent affecter le fonctionnement normal d'un site web », a-t-il ajouté, précisant que le site avait été désactivé par précaution.
PHP2Shell désigne deux vulnérabilités critiques de PHP : CVE-2026-109618 et CVE-2026-109619. Toutes deux sont notées 9,2 sur le CVSS v4.0, et chacune peut permettre à un attaquant non authentifié d'exécuter du code sur un serveur traitant des requêtes PHP, selon l'équipe PHP, Sygnia et Sygnia et du bureau de sécurité informatique de l'université de Berkeley.
Les failles se situent dans le cœur du traitement des requêtes de PHP, pas dans une application web : le code applicatif n'offre aucune protection. CVE-2026-109618 exploite la gestion de la mémoire insuffisante pour laisser des données de requête à moitié construites, et L'équipe PHP a validé l'exécution de code à distance non authentifiée sur HTTP contre le mod_php d'Apache, la configuration la plus risquée ; PHP-FPM et les autres sont également exposés.
Les correctifs d'urgence, publiés le 21 octobre 2026 : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et antérieur ne reçoivent aucune nouvelle version, seulement des rétroportages minimaux pour les 7.4, 8.0 et 8.1. « La mise à jour est la seule correction complète », indique l'avis — et chaque processus PHP doit être redémarré.
La piste de la découverte est inhabituelle. Wiz Research a trouvé les failles à l'aide de modèles d'IA et les a annoncées le 21 octobre, en même temps que les mises à jour de sécurité de PHP, après avoir collaboré avec des chercheurs de Google, OpenAI et Amazon Web Services, rapporte Mint. La PHP Foundation indique que Calif a entamé son audit fin juillet, signalant le 11 août une exécution de code à distance inconditionnelle, même cause racine trouvée par OpenAI.
Pretoria n'est pas seule face à ce choix : une agence de l'UE a averti cette semaine que des sites web dans tout le bloc pourraient devoir se mettre hors ligne pour les mêmes correctifs PHP — notre reportage du mercredi du correctif.
La présidence n'a pas dit combien de temps son site resterait hors ligne. Aucune indication d'intrusion, mais ni constat, ni audit, ni date de rétablissement divulgués.
Au-delà de l'Afrique du Sud, la plus grande inconnue est l'ampleur des dégâts : 22,6 millions d'instances exposées selon Palo Alto Networks, et l'étendue des compromissions réelles reste inconnue. Sygnia est explicite : corriger ne supprime pas une compromission existante.
Deux inconnues pèsent sur la chronologie. Amazon Threat Intelligence a enregistré une tentative d'exploitation le 17 octobre, sous embargo ; qui d'autre sondait, on l'ignore. Un message anonyme sur Hacker News le 20 octobre a publié les identifiants CVE et un score gonflé de 10,0 ; WatchTowr a confirmé la fuite, poussant PHP à avancer la publication. L'identité de l'auteur reste inconnue.
PHP est le moteur invisible du web public. Selon le traqueur W3Techs cité par Reuters, il fait tourner près de 70 % des sites identifiables — et c'est le moteur de WordPress, qui alimente environ 40 % des sites web, des blogs aux portails gouvernementaux et boutiques en ligne. Drupal et Joomla tournent aussi dessus. Une vulnérabilité critique dans le cœur de PHP n'est donc pas un bogue applicatif : c'est une faille dans les fondations, dont chaque site hérite.
Ce sont les chiffres qui ont fait bouger les gouvernements : en Afrique du Sud seule, une recherche Shodan a retourné plus de 9 800 serveurs PHP, dont la quasi-totalité des grands hébergeurs, rapporte MyBroadband. Qu'une présidence éteigne son propre site web dit à tous les DSI du continent que ce n'est pas un exercice.
La réponse probable tient au temps et à la certitude : corriger un serveur de production exige de mettre à jour le moteur et de redémarrer chaque processus PHP. Les propres recommandations du FBI, publiées mercredi, donnaient aux organisations la permission explicite de faire exactement ce que Pretoria a fait : « S'il n'est pas possible de mettre à jour immédiatement, il est recommandé aux organisations de mettre le système hors ligne jusqu'à ce qu'il puisse être complètement atténué. » Pour le site d'un chef d'État, le coût d'une heure d'indisponibilité est l'embarras ; le coût d'une compromission est un incident national. Pretoria a choisi l'embarras.
Un détail frappe dans le message de mercredi du FBI : mettre le système hors ligne si la mise à jour immédiate est impossible. Deux jours plus tard, la présidence sud-africaine l'a fait. Rare de voir un gouvernement exécuter en temps réel les recommandations d'une agence étrangère.
L'audit assisté par IA de Wiz, la découverte parallèle d'OpenAI et l'examen de plusieurs mois de Calif marquent un tournant : les modèles d'IA des défenseurs pour trouver des bogues de sécurité mémoire à grande échelle sont à la disposition des attaquants. L'explicatif de Mint avertit que la découverte soulève des préoccupations sur la facilité avec laquelle l'IA peut désormais construire des cyberattaques complexes. L'embargo a craqué : sondées le 17 octobre, divulguées le 20, publication avancée. La divulgation est désormais une course contre les outils qui trouvent les bogues.
Tous ceux qui ont corrigé le 21 octobre ou après — presque tout le monde. Le décalage de quatre jours entre la première tentative d'exploitation enregistrée et le correctif public est l'inconnue la plus lourde de conséquences. Rares sont les organisations certaines de ne pas avoir été sondées dans cette fenêtre ; celles sous PHP 8.1 ou antérieur, sans aucune nouvelle version, dépendent des rétroportages et de leur distribution. La course-poursuite favorise celui qui bouge le plus vite : en juin 2024, CVE-2024-4577 a été exploité dans les 24 heures suivant sa divulgation.
La même semaine, Magna Bureau examinait comment l'IA reconfigure la cyberdéfense — l'autre face de la même pièce.
Le risque immédiat de second ordre, c'est la longue traîne : des millions de petites entreprises, portails municipaux, cliniques et écoles font tourner du vieux PHP sur des hébergements mutualisés, et beaucoup ne corrigeront jamais. Les éditeurs comblent le vide où ils peuvent, mais même les atténuations avalisées par le FBI sont des pis-aller : désactiver la fonctionnalité session.upload_progress bloque un vecteur confirmé, pas la vulnérabilité.
CrowdStrike, via MyBroadband, nuance : une exploitation réussie ne donne l'exécution de commandes que dans le contexte de l'utilisateur du serveur web. Mais le vol d'identifiants, l'installation de shells web et le mouvement latéral sont réalisables sans être root — pour les banques et les services gouvernementaux, c'est largement suffisant.
La dimension africaine est concrète : la Cyber Security Authority du Ghana et son agence des technologies de l'information ont alerté vendredi les institutions gouvernementales, avertissant que les failles « pourraient permettre aux attaquants de prendre le contrôle des serveurs affectés sans nom d'utilisateur ni mot de passe ». La poussée de l'e-gouvernement — impôts, pièces d'identité, appels d'offres — repose sur la même pile PHP-et-WordPress que vise PHP2Shell. Une décennie de numérisation a concentré le risque dans un seul moteur ; cette semaine en a fixé le prix.
Pour mesurer ce qu'une intrusion réussie donne au niveau de la rue, voir notre reportage sur la cyberattaque contre les supermarchés français.
Trois choses à surveiller : quand le site de la présidence reviendra et ce qu'il dira ; si la rupture de l'embargo s'est traduite en intrusions réelles ; si les distributions livreront des rétroportages fiables pour PHP 7.4, 8.0 et 8.1. La prochaine faille critique n'aura peut-être même pas cet avertissement.
Comment l'Occident le raconte La couverture occidentale a traité PHP2Shell comme un incident systémique. Le bureau de Reuters à Johannesburg a révélé l'angle de la présidence, qualifiant les failles de « l'un des incidents de cybersécurité les plus importants de ces dernières années ». La réponse institutionnelle a été américaine et britannique : le message du FBI, l'alerte du NCSC et l'avis 2026-018 de CERT-EU.
Comment l'Orient le raconte La réponse asiatique a été opérationnelle : la Cyber Security Agency de Singapour a alerté le jour même du correctif, la KISA coréenne a recommandé des mises à jour immédiates, et Piolink a ouvert une page gratuite de « vérification d'urgence php2shell ». Le Mint indien a publié un explicatif complet sur la découverte par IA. Channel News Asia a relayé l'histoire en quelques heures.
Comment le Sud global le raconte Le Sud global n'est pas un spectateur — c'est le terrain : le Daily Maverick a mis la mise hors ligne sur le dossier, et MyBroadband a quantifié l'exposition. La Cyber Security Authority du Ghana et la NITA ont agi le jour même. C'est là que le fossé des correctifs est le plus large — et qu'une présidence qui s'éteint avertit sur l'infrastructure sous chaque gouvernement numérique du continent.
Par précaution face à PHP2Shell, deux failles critiques du langage de programmation PHP divulguées cette semaine. La présidence a déclaré sur X que le site était « temporairement indisponible par mesure de précaution, en réponse à un événement mondial de cybersécurité ». Le porte-parole Vincent Magwenya a dit à Reuters qu’il n’y avait aucune indication d’intrusion. Le FBI avait recommandé de mettre les systèmes hors ligne si la correction immédiate était impossible.
Le nom de deux vulnérabilités critiques dans PHP lui-même — CVE-2026-109618 et CVE-2026-109619. Chacune est notée 9,2 sur l’échelle CVSS v4.0 et peut permettre à un attaquant non authentifié d’exécuter du code sur un serveur web, avant même que le code applicatif ne s’exécute. Les failles se situent dans le traitement des requêtes au cœur de PHP, si bien que les sites sous WordPress, Drupal ou Joomla sont tous exposés. Les correctifs d’urgence ont été publiés le 21 octobre 2026.
S’il tourne sur une version non corrigée et sert du trafic web, oui. La mise à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 suivie du redémarrage de chaque processus PHP est la seule correction complète. PHP 8.1 et les versions antérieures ne reçoivent aucune nouvelle version, seulement des rétroportages des sources. Désactiver la fonctionnalité session.upload_progress est un pis-aller, pas un remède.
Pour l’échelle et le calendrier. PHP fait tourner environ 70 % des sites web identifiables, Palo Alto Networks compte 22,6 millions d’instances exposées, et les failles ont été sondées dans la nature le 17 octobre — quatre jours avant le correctif — alors qu’elles étaient encore sous embargo, puis divulguées le 20 octobre. Reuters a évoqué « des millions de tentatives de piratage ». C’est aussi la première faille majeure découverte par audit assisté par IA.
