Les failles PHP font l’objet d’une alerte critique au Maroc. La Direction générale de la sécurité des systèmes d’information (DGSSI) met en garde contre deux vulnérabilités informatiques susceptibles de permettre à des cybercriminels de prendre le contrôle de certains serveurs à distance et d’accéder à des données sensibles. Publiée le 21 octobre 2026, cette alerte intervient alors que les correctifs de sécurité sont désormais disponibles et que les administrateurs doivent sécuriser rapidement les installations concernées.
La menace est particulièrement importante en raison de la large utilisation de PHP dans le développement des sites web. Certaines plateformes ont été temporairement mises hors ligne à titre préventif dans différents pays, le temps de procéder aux vérifications et aux mises à jour nécessaires.
Failles PHP : deux vulnérabilités classées critiques
Les deux failles signalées portent les références CVE-2026-109618 et CVE-2026-109619. Regroupées sous le nom « PHP2Shell », elles peuvent, dans certaines configurations vulnérables, permettre l’exécution de code malveillant à distance sans authentification préalable.
Concrètement, un attaquant pourrait exploiter un serveur insuffisamment protégé pour compromettre son fonctionnement, accéder à des fichiers ou tenter d’atteindre des informations sensibles. Les conséquences possibles comprennent notamment le vol de données, la modification de fichiers, l’interruption de services et une compromission plus large du système informatique.
Les deux vulnérabilités ont obtenu un score de gravité de 9,2 sur 10 selon le système CVSS 4.0, utilisé pour évaluer la sévérité des failles informatiques. La disponibilité publique d’un code de démonstration de leur exploitation renforce l’urgence des mesures de protection.
Cette alerte ne signifie toutefois pas que tous les sites utilisant PHP ont été piratés. Le risque dépend notamment de la version installée, de la configuration du serveur et de l’application effective des correctifs.
Pourquoi cette alerte concerne-t-elle aussi le Maroc ?
Au Maroc, la DGSSI, relevant de l’Administration de la Défense nationale, a classé le risque et son impact au niveau critique. Son avertissement concerne les organisations disposant de systèmes informatiques utilisant les configurations PHP affectées.
Selon des données de W3Techs rapportées par Médias24 le 21 octobre 2026, PHP est utilisé par 75,4 % des sites en « .ma » dont le langage côté serveur est identifiable. Cette proportion illustre la place importante de cette technologie dans l’écosystème web marocain.
Ce chiffre doit néanmoins être interprété avec précision : il ne signifie pas que 75,4 % des sites marocains sont vulnérables. Il indique uniquement la part des sites concernés par cette mesure statistique qui utilisent PHP. Seules les installations exposées aux vulnérabilités et non corrigées présentent le risque associé.
Les entreprises, les administrations, les établissements d’enseignement, les commerces en ligne et les gestionnaires de sites WordPress doivent donc vérifier leur environnement technique. La priorité est de déterminer si les versions et configurations utilisées sont concernées, puis d’appliquer les mises à jour appropriées.
Des sites web temporairement mis en maintenance par précaution
Face à la gravité de ces vulnérabilités, plusieurs organisations à l’international ont choisi de désactiver temporairement certains services accessibles sur Internet afin de réduire leur exposition pendant les opérations de sécurisation.
Cette mesure préventive vise à limiter les risques lorsqu’une mise à jour immédiate n’est pas possible. Elle ne constitue pas, à elle seule, une preuve qu’une cyberattaque a réussi. Il est essentiel de distinguer une fermeture préventive d’un incident de sécurité confirmé.
Pour les gestionnaires de plateformes numériques, l’enjeu est de trouver un équilibre entre la continuité du service et la protection des utilisateurs. Lorsqu’un système exposé ne peut pas être corrigé rapidement, son isolement temporaire peut être nécessaire jusqu’à sa sécurisation.
Quelles versions de PHP doivent être mises à jour ?
Des correctifs ont été publiés par l’équipe de sécurité de PHP. Les versions corrigées signalées dans les avis de sécurité sont les suivantes :
- PHP 8.2 : version corrigée 8.2.35.
- PHP 8.3 : version corrigée 8.3.36.
- PHP 8.4 : version corrigée 8.4.27.
- PHP 8.5 : version corrigée 8.5.12.
Les versions antérieures à ces correctifs sont concernées dans les branches indiquées. Les versions PHP 8.1 et antérieures ne bénéficient plus du support régulier du projet PHP. Les organisations qui les utilisent doivent envisager une migration vers une version maintenue et sécurisée, en tenant compte des éventuels correctifs fournis par leur distributeur.
Avant toute intervention, les administrateurs doivent vérifier la version réellement utilisée par le serveur et consulter les recommandations officielles de PHP ainsi que celles de leur hébergeur. Une mise à jour du site ou d’un thème WordPress ne remplace pas nécessairement la mise à jour de PHP côté serveur.
WordPress, boutiques en ligne : quels risques pour les sites web ?
PHP est largement utilisé pour faire fonctionner des sites dynamiques et des applications web, notamment des plateformes reposant sur WordPress, Drupal ou Joomla. Il permet entre autres de traiter les requêtes, de générer les pages et de communiquer avec les bases de données.
Les risques dépendent de l’environnement technique et de la manière dont PHP est déployé. Un site peut donc être concerné même si son interface fonctionne normalement et qu’aucun signe visible ne révèle un problème.
Les propriétaires de sites doivent contacter leur hébergeur ou leur administrateur système pour confirmer la version utilisée, l’application des correctifs et l’absence d’activité suspecte. Il est également recommandé de conserver des sauvegardes récentes, de contrôler les accès administrateurs et de surveiller les journaux du serveur.
Quelles mesures prendre pour protéger un serveur ?
Face à ces failles PHP, plusieurs actions doivent être engagées sans attendre :
- Vérifier la version de PHP : identifier les versions et configurations utilisées sur tous les serveurs, applications et environnements hébergés.
- Installer les correctifs : mettre à jour vers une version corrigée et prise en charge par le projet PHP ou par le fournisseur responsable du système.
- Isoler les systèmes exposés si nécessaire : si une mise à jour immédiate est impossible, limiter temporairement l’accès depuis Internet jusqu’à la sécurisation.
- Contrôler les journaux : rechercher des requêtes inhabituelles, des fichiers inattendus, des processus suspects ou des connexions anormales.
- Protéger les données : vérifier les sauvegardes, renforcer les accès et appliquer les bonnes pratiques de sécurité après la mise à jour.
Les mesures temporaires de contournement peuvent réduire certains risques, mais elles ne remplacent pas l’installation des correctifs appropriés. Les organisations doivent s’appuyer sur les bulletins techniques officiels pour déterminer les actions adaptées à leur environnement.
Cybersécurité : une course contre la montre pour les administrateurs
Cette alerte rappelle qu’une faille dans une technologie largement utilisée peut avoir des répercussions sur de nombreux secteurs. La sécurité d’un site web ne dépend pas seulement de son apparence ou de ses fonctionnalités, mais aussi de la maintenance de ses composants, de la configuration de son serveur et de la rapidité avec laquelle les mises à jour sont appliquées.
Pour les organisations marocaines, la priorité est désormais claire : identifier les systèmes concernés, installer les correctifs et vérifier qu’aucune activité suspecte n’a compromis les infrastructures. La disponibilité des mises à jour permet de réduire le risque, à condition qu’elles soient effectivement déployées.
