Le Centre national néerlandais de cybersécurité (NCSC) est hors ligne parce qu'il fonctionne sous PHP, après que la PHP Foundation a publié une mise à jour de sécurité pour corriger deux vulnérabilités critiques dans ce langage de programmation web très répandu. Le site du centre affiche désormais un avertissement urgent invitant tous ceux qui utilisent PHP dans des sites ou des applications web à installer les mises à jour dès que possible.
Cette panne illustre de la façon la plus nette une course mondiale : des sites gouvernementaux aux Pays-Bas, au Danemark, en France, en Finlande et au Canada ont été mis hors service à titre préventif, selon Reuters. L'affaire compte parce que PHP sous-tend une grande partie du web, y compris des plateformes de publication comme WordPress et Drupal.
Que sont exactement les failles PHP ?
Ces failles sont restées inaperçues dans le logiciel PHP pendant des années et n'ont été découvertes que grâce à des outils d'intelligence artificielle utilisés par des entreprises de cybersécurité. Un pirate qui les exploitait pouvait s'infiltrer dans un serveur sous PHP et potentiellement en prendre le contrôle.
OpenAI a indiqué que ces vulnérabilités, détectées à l'aide de GPT-5.6 Sol, figurent « parmi plusieurs vulnérabilités importantes » qu'elle a identifiées, et qu'elle s'attend à ce que « des découvertes similaires augmentent fortement ». La PHP Foundation a publié les correctifs, et le message des autorités est constant : installez-les immédiatement.
Jusqu'où va la panne liée à PHP ?
L'impact est inhabituellement large. Tiffany Farriss, directrice générale par intérim de la Drupal Association, a déclaré que « tous les serveurs utilisant une version de PHP publiée ces vingt dernières années seront vulnérables » et que le problème « touche la majorité d'Internet ».
Les gouvernements ont réagi vite. Le ministre canadien de l'Intelligence artificielle et de l'Innovation numérique, Evan Solomon, a annoncé sur X la décision de passer temporairement hors ligne et a soutenu l'appel à mettre à jour les sites sans attendre. Aux États-Unis, la Cybersecurity & Infrastructure Security Agency a exhorté les organisations à appliquer le nouveau correctif, et la Maison-Blanche a déclaré à Reuters avoir été informée du problème vendredi.
