La dépendance des services numériques à des technologies partagées expose les organisations à des risques qui dépassent leurs propres systèmes. La faille PHP2Shell rappelle l’importance de la sécurité des composants qui soutiennent l’économie numérique.

Deux vulnérabilités critiques du langage PHP peuvent permettre à un attaquant de prendre le contrôle d’un serveur web sans disposer d’un compte utilisateur. Baptisées PHP2Shell et référencées CVE-2026-109618 et CVE-2026-109619, elles ont fait l’objet de correctifs publiés le mardi 21 octobre. Au Cameroun, à Djibouti, au Ghana et au Nigeria, des organismes de cybersécurité ont relayé l’alerte, alors que PHP est utilisé par près de 70 % des sites web dont le langage côté serveur est connu.

Notées 9,2 sur 10 selon le système CVSS v4.0, les deux failles affectent le moteur même de PHP. Leur exploitation peut permettre l’exécution de commandes à distance, sans authentification préalable, et compromettre les données hébergées sur un serveur. Le risque concerne notamment les installations PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. L’équipe de développement recommande aux utilisateurs de mettre à jour leurs installations sans attendre.

Quid de l’Afrique ?

Les vulnérabilités ne visent pas spécifiquement les infrastructures africaines. Elles peuvent néanmoins concerner les sites d’information, les plateformes commerciales et les services administratifs en ligne qui fonctionnent avec une version vulnérable de PHP. Le lieu d’hébergement du serveur ne change pas cette exposition. Un service exploité par une organisation africaine peut être vulnérable même si son infrastructure est située à l’étranger.

Au Cameroun, le Centre de réponse aux incidents de sécurité informatique (CIRT.cm), rattaché à l’Agence nationale des technologies de l’information et de la communication (ANTIC), a publié une alerte le mercredi 22 octobre. Son bulletin décrit les conséquences possibles des failles et les versions concernées. À Djibouti, l’Autorité nationale de cybersécurité a également diffusé un avis, détaillant les risques pour les systèmes et les données ainsi que les correctifs disponibles.

Au Ghana, la Cyber Security Authority (CSA) et la National Information Technology Agency (NITA) ont alerté les administrations, les entreprises et les hébergeurs. Selon l’avis relayé, les institutions publiques ont été invitées à prendre des mesures et à rendre compte des actions engagées dans un délai de sept jours. Au Nigeria, le centre national de réponse aux incidents informatiques (ngCERT) a lui aussi classé les failles comme critiques et appelé les administrations, les établissements financiers, les opérateurs télécoms et les hébergeurs à identifier les systèmes exposés et à appliquer les correctifs.

Des correctifs à appliquer sur les serveurs exposés

La mise à jour des installations concernées constitue la principale mesure de protection. Les organisations doivent inventorier leurs systèmes PHP, identifier les versions utilisées et installer les versions corrigées adaptées à leur environnement. Une mise à jour du site ou de son système de gestion de contenu ne suffit pas nécessairement si le moteur PHP du serveur reste vulnérable.

Les versions anciennes qui ne bénéficient plus du support direct du projet PHP nécessitent une vérification supplémentaire auprès du fournisseur ou du prestataire chargé de leur maintenance. Les entreprises qui externalisent l’hébergement de leurs sites doivent également confirmer que les serveurs concernés ont été mis à jour. En cas d’exposition antérieure, l’installation d’un correctif ne permet pas, à elle seule, d’exclure une compromission déjà survenue.

Samira Njoya

(Source : WeAreTechAfrica, 23 octobre 2026)