Faille PHP en chiffres : des millions d’attaques et plus d’un million de serveurs encore exposés
Hier, nous vous avons expliqué la faille PHP critique et comment mettre votre site à jour d’urgence. Vingt-quatre heures plus tard, les premiers chiffres sont tombés, et ils confirment l’urgence : des millions de tentatives d’attaque, et plus d’un million de serveurs encore vulnérables. Voici l’essentiel de la faille PHP en chiffres, avec la source de chaque donnée. Chiffres en date du 22 octobre 2026.
La faille PHP en chiffres : l’essentiel
9,2 / 10
Score de gravité CVSS 4.0 de chacune des deux failles
~3 millions
Serveurs PHP visibles sur Internet suivis par Censys le 22 octobre
1,57 million
Serveurs PHP non corrigés identifiés par Censys le 21 octobre
Des millions
Tentatives d’attaque vues par Cloudflare au lendemain du correctif
Votre site ou vos serveurs roulent-ils une version de PHP à corriger?
Demander une vérification : ma mise à jour PHP est-elle nécessaire?
Les deux failles, CVE-2026-109618 et CVE-2026-109619 (surnommées « php2shell »), permettent à un pirate non authentifié d’exécuter du code sur un serveur qui sert des pages Web en PHP. Chacune obtient un score de 9,2 sur 10. Selon le projet PHP, une seule requête suffit dans certaines configurations (Apache avec mod_php), avant même que le code de votre site ne s’exécute.
Quatre jours d’avance pour les pirates
| Date | Ce qui s’est passé | Source |
|---|---|---|
| 17 octobre | Première tentative d’exploitation observée par Amazon sur un piège (honeypot), quatre jours avant le correctif. | Amazon, via SecurityWeek |
| 20 octobre | Les identifiants des failles fuitent en ligne; le projet PHP publie un préavis. | SecurityWeek, Tenable |
| 21 octobre | Correctifs PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La CISA demande de corriger immédiatement. | PHP Foundation, CISA |
| 21-22 octobre | Cloudflare : des milliers de tentatives avant l’annonce, des dizaines de milliers 45 minutes après, des centaines de milliers en 2 heures, puis des millions. | Cloudflare, via SecurityWeek |
| 21 octobre | Le NVD attribue sa propre note CVSS 3.1 de 9,8 sur 10. La NSA recommande aussi de corriger immédiatement. | NVD, NSA, via phpvulnerabilities.app |
| 21-22 octobre | Hadrian, Patchstack et Cloudflare voient des tentatives des heures avant le correctif; VulnCheck voit une adresse IP chinoise tenter, sans succès, d’installer un webshell. | SecurityWeek |
| Hôtes PHP visibles sur Internet (21 oct.) et propriétés Web PHP | 2,58 millions d’hôtes; ~54,9 millions de propriétés Web | Censys (publication LinkedIn, via TipRanks) |
| Hôtes PHP visibles, presque tous vulnérables | Plus de 2,6 millions | VulnCheck |
| Serveurs en PHP 3.x à 7.3 / en PHP 7.4, 8.0 ou 8.1 | Plus de 700 000 / près de 400 000 | VulnCheck |
| Adresses IP qui roulent PHP (toutes versions) | ~5,1 millions | VirusTotal |
| Adresses IP en version PHP périmée (5.4 à 8.1) | ~758 000 | VirusTotal |
Autrement dit, des pirates testaient la faille avant même que le correctif n’existe. Une fois le correctif publié, il a suffi de quelques heures pour que les attaques passent de milliers à des millions.
Combien de sites et de serveurs sont exposés?
PHP fait tourner la majorité du Web, y compris WordPress. Le problème : beaucoup de serveurs roulent encore de vieilles versions que le projet PHP ne corrige plus officiellement.
| Mesure | Chiffre | Source |
|---|---|---|
| Sites Web dont le langage serveur est connu qui utilisent PHP | 69,3 % | W3Techs |
| Sites PHP encore en version 7 | 26,9 % | W3Techs |
| Sites PHP encore en version 5 | 7,7 % | W3Techs |
| Serveurs PHP non corrigés, sur ~1,58 million qui affichent leur version (21 oct.) | ~1,57 million | Censys |
| Serveurs PHP en version périmée (fin de vie) | Au moins 1 million | VulnCheck |
| Adresses IP qui affichent une version PHP, dont version encore soutenue | 1,1 million, dont ~272 000 | VirusTotal |
| Hôtes PHP situés aux États-Unis | ~920 000 | SecurityWeek |
Les méthodes de comptage diffèrent d’une firme à l’autre (seuls certains serveurs affichent leur version), d’où des chiffres qui ne se recoupent pas parfaitement. Mais toutes vont dans le même sens : la grande majorité des serveurs PHP visibles n’étaient pas encore corrigés au lendemain du correctif.
📊 Ce que les chiffres ne disent pas encore
Au 22 octobre, la faille n’était pas inscrite au catalogue des failles exploitées de la CISA (KEV), et watchTowr indique que les codes d’attaque qui circulent ne réussissent pas encore à prendre le contrôle d’un serveur : ils plantent la cible ou testent sa réaction. Amazon affirme toutefois que php2shell est « largement exploitée ». N’attendez pas qu’un code fiable circule : il suffit d’un seul.
Vérification en date du 22 octobre 2026 : le catalogue KEV de la CISA (version 2026.10.21) ne liste toujours aucune des deux failles, et aucun score EPSS (probabilité d’exploitation) n’a encore été publié.
Ce que vous devez faire aujourd’hui
- Vérifiez votre version de PHP chez votre hébergeur : vous devez être en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou plus récent).
- Si votre site roule PHP 8.1 ou plus ancien, la CISA recommande de le mettre hors ligne jusqu’à la mise à niveau.
- Si votre serveur était exposé avant la mise à jour, faites vérifier qu’aucune porte dérobée n’a été installée et changez les mots de passe de la base de données.
Chez NeoTech, notre gestion des serveurs applique ces mises à jour, et nos services de cybersécurité incluent une surveillance automatisée 24/7 avec intervention du technicien de garde. Si vous avez un site WordPress, notre création de sites Web inclut l’hébergement à jour.
Réservez votre Bilan cyber gratuit
Vous ne savez pas quelle version de PHP roule votre site, ou si votre hébergeur l’a corrigée? Le Bilan cyber gratuit vérifie votre site et vos serveurs, puis vous remet un plan clair, par ordre de priorité.
👉 Réservez votre Bilan cyber gratuit
Pas sûr que la mise à jour vous concerne? 👉 Demander une vérification : ma mise à jour PHP est-elle nécessaire?
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- SecurityWeek : PHP2Shell Exploitation Started Days Before Patches (22 octobre 2026) — données Amazon, Cloudflare, Censys, VulnCheck, VirusTotal, watchTowr (en anglais)
- Censys : Oct 21 Advisory: PHP Unauthenticated Remote Code Execution (en anglais)
- CERT-EU : Critical Vulnerabilities in PHP, avis 2026-018 (en anglais)
- CISA : Critical Vulnerabilities in PHP Require Immediate Patching (21 octobre 2026) (en anglais)
- Tenable : php2shell FAQ (en anglais)
- The PHP Foundation : Today’s PHP Security Release (21 octobre 2026) (en anglais)
- W3Techs : Usage statistics of PHP for websites (22 octobre 2026) (en anglais)
- PHP2Shell Assessments: CISA, NVD, NSA, KEV (en anglais)
- TipRanks: Censys PHP exposure data (en anglais)
- BleepingComputer: PHP ships emergency patches for PHP2Shell (en anglais)