PHP2Shell : 32 services publics britanniques à l'arrêt, OVHcloud réagit !
Les conséquences de PHP2Shell commencent à se faire sentir ! Mercredi, nous vous alertions sur les deux failles critiques découvertes dans PHP, susceptibles de permettre à des pirates de prendre le contrôle de serveurs web sans identifiant. Deux jours plus tard, les premières conséquences sont visibles : des dizaines de services publics britanniques ont été suspendus, tandis que de nouvelles informations montrent que les tentatives d'exploitation avaient commencé avant même la publication des correctifs.
32 services publics britanniques indisponibles
Le 22 octobre, lors d'une intervention devant la Chambre des lords, le gouvernement britannique a confirmé que 32 services publics étaient totalement indisponibles et quatre autres partiellement perturbés.
Mais attention à ne pas tirer de conclusions trop rapides ! Ces interruptions résultent principalement de mesures préventives prises par les administrations pour protéger leurs infrastructures pendant l'installation des correctifs. Le gouvernement précise qu'aucune compromission de ses systèmes centraux liée à ces failles n'était confirmée à cette date.
L'ampleur des perturbations montre néanmoins à quel point PHP reste présent dans les infrastructures numériques. Lorsqu'une vulnérabilité touche directement le moteur d'exécution utilisé par des millions de sites, même les organisations les mieux préparées peuvent être contraintes de suspendre temporairement certains services.
Des attaques détectées quatre jours avant les correctifs !
Plus inquiétant encore, Amazon révèle avoir détecté une tentative d'exploitation de PHP2Shell dès le 17 octobre 2026, soit quatre jours avant la divulgation publique des vulnérabilités CVE-2026-109618 et CVE-2026-109619.
Selon les chercheurs d'Amazon Threat Intelligence, cette activité a été repérée grâce à MadPot, un réseau de pièges informatiques conçu pour attirer et analyser les tentatives d'intrusion. L'attaque provenait d'une adresse IP associée à un service d'anonymisation.
D'autres tentatives ont ensuite été observées le 21 octobre, avant et après la publication des correctifs. Amazon souligne toutefois qu'il n'est pas établi que ces attaques auraient réussi contre de véritables serveurs. L'entreprise ignore également comment les auteurs ont obtenu les informations nécessaires avant la divulgation officielle.
Cette chronologie rappelle une réalité particulièrement gênante : lorsqu'une faille devient publique, certains pirates peuvent déjà être en train de l'exploiter. Attendre plusieurs jours avant d'installer une mise à jour critique peut donc représenter un risque important.
OVHcloud a déjà déployé les correctifs sur ses hébergements mutualisés
Bonne nouvelle pour les clients d'OVHcloud ! L'hébergeur français a réagi rapidement à la découverte de ces vulnérabilités. Dès le 21 octobre au matin, des mesures temporaires de protection ont été appliquées sur ses infrastructures d'hébergement web, notamment à travers des règles de filtrage des requêtes malveillantes.
Puis, dans une communication officielle publiée le 21 octobre à 19h53, heure de Paris, OVHcloud a confirmé que les versions PHP allant de 7.4 à 8.5 avaient été corrigées sur l'ensemble de ses clusters d'hébergement mutualisé. Les opérations concernant des versions encore plus anciennes se poursuivaient.
Pour les utilisateurs des versions récentes de PHP, les correctifs correspondent aux versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Ces mises à jour éliminent les deux vulnérabilités concernées, qui ont chacune reçu une note de gravité de 9,2 sur 10.
Attention toutefois : les clients disposant d'un serveur VPS ou dédié ne bénéficient pas nécessairement d'une mise à jour automatique de leur environnement PHP. OVHcloud leur rappelle dans son guide de sécurité qu'ils doivent vérifier eux-mêmes leur installation et appliquer les correctifs nécessaires.
Que faire si votre site utilise PHP ?
La priorité reste de vérifier que le moteur PHP exécutant votre site dispose bien des correctifs. Le simple fait de mettre à jour WordPress, Joomla, Drupal ou un autre logiciel ne suffit pas, puisque PHP2Shell touche directement PHP et non une extension particulière.
En France, le CERT-FR maintient une alerte officielle sur ces deux vulnérabilités. Il recommande l'application rapide des mises à jour et, pour les environnements anciens ne bénéficiant plus du support de PHP, une migration vers une branche maintenue.
Les pare-feu applicatifs peuvent limiter certaines attaques, mais ils ne constituent pas une protection complète. Les administrateurs de serveurs devront également examiner les journaux de sécurité en cas d'exposition avant la mise à jour, particulièrement depuis le 17 octobre, date des premières tentatives détectées par Amazon.
Une chose est certaine : cette affaire démontre qu'une simple mise à jour du moteur d'un site peut devenir une urgence mondiale. Et si les correctifs sont désormais disponibles, la vigilance reste indispensable pour les serveurs qui ne les ont pas encore installés !