Failles PHP : 10 jours après, près de 30 millions de sites et services web toujours vulnérables

Les failles PHP2Shell continuent de mettre en danger Internet, alors que des correctifs sont disponibles depuis plus de dix jours. Près de 30 millions de services PHP tournent encore sur une version vulnérable, dont 2 millions en France. Pire, la grande majorité de ces cibles potentielles s’appuie sur des versions de PHP qui ne sont plus mises à jour.

Onze jours après la publication des correctifs, la mise à jour de PHP avance… mais le chemin est encore long. Selon le moteur de recherche Censys, 29,6 millions de services PHP exposés sur Internet tournaient encore sur une version vulnérable dans la journée du vendredi 30 octobre 2026. Le moteur, développé par l’entreprise américaine de cybersécurité du même nom, scanne Internet en permanence.

🚨 Censys is closely tracking PHP2Shell exposure and remediation worldwide.

Our live dashboard tracks affected PHP versions and patching progress by country, network, and PHP version.

View the live dashboard: https://t.co/sicDgpcKz6 https://t.co/wdqjMTZH2m

— Censys (@censysio) October 22, 2026

À lire aussi : « Un échec » cuisant pour la cybersécurité – pourquoi les failles PHP ont plongé une partie d’Internet dans le noir

Une mise à jour qui progresse

Les chiffres de Censys montrent néanmoins que la mise à jour progresse. Quelques jours plus tôt, le 26 octobre, on comptait encore plus de 32 millions de services vulnérables. C’est mieux que le lundi 26 octobre, où l’on en comptait plus de 32 millions. Depuis la mise en ligne des correctifs le 21 octobre, 12,4 millions de services PHP sont passés à une version corrigée du langage de programmation.

La France fait partie des mauvais élèves. Avec un peu plus de 2 millions de services non mis à jour, l’Hexagone se classe au troisième rang mondial des pays les plus vulnérables, derrière les États-Unis (9,1 millions) et l’Allemagne (3,7 millions). Pire, sur dix services PHP français dont la version est connue, huit n’ont toujours pas reçu le correctif. C’est plus que la moyenne mondiale

Notez que ces chiffres doivent être pris avec du recul. Ils reposent en effet sur la version de PHP affichée par les serveurs. Or, 61 % des services ne déclarent pas la version de PHP utilisée. De plus, certaines distributions Linux corrigent la faille sans changer le numéro de version. Il s’agit donc d’une estimation haute, mais qui donne un aperçu de l’état des lieux de la mise à jour.

Les versions de PHP en fin de vie

Sur les 30 millions de services potentiellement vulnérables, environ 24 millions tournent sous PHP 8.1 ou une version plus ancienne. Il s’agit de versions de PHP qui ne sont plus mises à jour par les développeurs de la PHP Foundation. Comme le rappelle le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR) dans son alerte de sécurité, « l’éditeur n’assure plus le support des versions de PHP 5.x, 7.x, 8.0.x et 8.1.x ». La version la plus répandue sur Internet est d’ailleurs PHP 7.4.33, une version abandonnée… mais toujours présente sur près de 7 millions de services.

Vu la gravité des failles, l’équipe de sécurité de PHP a exceptionnellement publié des correctifs pour PHP 7.4, 8.0 et 8.1, à appliquer soi-même dans le code source. Pour les versions encore plus anciennes, rien n’est prévu à ce stade. Il faut impérativement prévoir une migration vers une version récente de PHP. C’est un processus bien plus lourd qu’une simple mise à jour.

À lire aussi : Failles PHP – pourquoi c’est un vrai casse-tête pour l’Internet mondial

Des cyberattaques en cours

Tandis que les cibles potentielles se mettent à jour, de nombreuses tentatives d’attaques ont été recensées sur Internet. En France, le CERT-FR de l’ANSSI a identifié plusieurs tentatives d’exploitation des failles de PHP. Comme l’expliquent les chercheurs de Tenable, les failles sont difficiles à exploiter à grande échelle. Chaque attaque doit être ajustée à la configuration exacte du serveur visé. Elle peut toutefois toucher en masse des équipements qui partagent le même logiciel.

C’est d’ailleurs ce qu’il s’est produit il y a quelques jours dans le cadre de la première cyberattaque réussie exploitant les failles PHP en conditions réelles. Des pirates chinois sont en effet parvenus à prendre le contrôle total de 25 serveurs aux États-Unis, au Japon, à Taïwan et en Corée du Sud. Les assaillants ont combiné PHP2Shell avec une faille du noyau Linux pour arriver à leurs fins. La CISA, l’agence américaine de cybersécurité, confirme que les deux failles sont activement exploitées dans des cyberattaques.