Le 22 octobre 2026, plus de 23 000 serveurs liés à la Suisse restaient vulnérables à PHP2Shell, une double faille PHP critique, malgré les correctifs d'urgence publiés la veille. L'entreprise Risikomonitor a fait ce relevé, rapporte ICTjournal. Des tentatives d'exploitation ont été observées, sans dommage signalé à ce jour. Pour la cybersécurité des PME, le risque tient surtout au site web et à la boutique en ligne.
Combien de serveurs restent exposés en Suisse ?
Risikomonitor, spécialisée dans l'analyse automatisée des sites web, a examiné près de 690 000 serveurs ayant un lien avec la Suisse. Elle en a trouvé un peu plus de 23 000 encore concernés par PHP2Shell, soit environ 3,5 %.
Ce chiffre est probablement un minimum. Selon ICTjournal, le nombre réel pourrait être plus élevé, car la version de PHP installée n'est pas toujours détectable de l'extérieur.
Les données mondiales de VirusTotal vont dans le même sens. Le 21 octobre 2026, son scanner a repéré plus de 5 millions de serveurs PHP, mais n'a pu dater la version que d'un quart d'entre eux.
| Relevé | Périmètre | Serveurs examinés | Résultat |
|---|---|---|---|
| Risikomonitor, 22 octobre 2026 | Serveurs liés à la Suisse | Près de 690 000 | Un peu plus de 23 000 encore vulnérables (environ 3,5 %) |
| VirusTotal, 21 octobre 2026 | Monde | Plus de 5 millions | Version identifiée pour un quart ; plus de 700 000 en fin de vie, sans correctif |
Le point le plus préoccupant concerne ces versions en fin de vie. Parmi les serveurs dont la version est connue, ce sont les plus répandues. Elles ne reçoivent aucun correctif d'urgence officiel.
Les attaques ont-elles déjà commencé ?
Des tentatives d'exploitation ont bien eu lieu, mais aucune attaque ayant causé des dommages n'a été signalée. Selon Bleeping Computer, qui cite Amazon Threat Intelligence, elles ont commencé quatre jours avant la publication des correctifs. Plusieurs groupes de cybercriminels auraient testé différentes méthodes, sans y parvenir.
Cloudflare décrit la même pression. Son directeur général, Matthew Prince, a indiqué sur X avoir vu des milliers de tentatives avant la divulgation publique, puis des dizaines de milliers dans les 45 minutes suivantes. Leur nombre a ensuite atteint plusieurs millions.
Une tentative n'est pas une intrusion. ICTjournal souligne que ces chiffres ne correspondent pas à des attaques réussies, dont l'ampleur reste difficile à mesurer.
Qui est concerné en Suisse ?
Tout organisme qui fait tourner PHP est potentiellement concerné, du site de commune à la boutique de PME. PHP fait fonctionner environ trois sites web sur quatre, dont tous les sites WordPress, comme le rappelait notre article sur la faille PHP PHP2Shell.
Des sites romands ont aussi été coupés. La rédaction d'ICTjournal a observé que les sites de l'Université de Genève et de l'EPFL avaient été temporairement débranchés. Il s'agit de mesures préventives, et non de compromissions avérées.
Le serveur web n'est pas seul en cause. L'Office fédéral de la cybersécurité (OFCS) rappelle que le risque touche aussi les applications internes, les interfaces d'administration et les équipements qui embarquent PHP.
Comment vérifier sa version de PHP ?
La première étape consiste à savoir quelle version tourne, et où. Pour un site hébergé, c'est en général l'hébergeur qui gère PHP : il suffit de lui demander la version installée et si le correctif PHP2Shell est appliqué.
La réponse se compare ensuite aux versions corrigées publiées par les développeurs de PHP :
- PHP 8.5 : version 8.5.12 ;
- PHP 8.4 : version 8.4.27 ;
- PHP 8.3 : version 8.3.36 ;
- PHP 8.2 : version 8.2.35 ;
- PHP 8.1 et plus ancien : aucune nouvelle version officielle ; seuls des correctifs minimaux, les paquets des distributeurs Linux ou une migration protègent.
Les développeurs de PHP sont clairs : aucune mesure d'atténuation ne remplace complètement la mise à jour du serveur PHP. Les réglages temporaires détaillés dans notre premier article réduisent seulement certains chemins d'attaque.
L'inventaire compte autant que la mise à jour. Il faut recenser toutes les installations PHP, y compris un vieux site oublié, un forum ou un outil de statistiques fourni par un tiers.
Ce que recommande l'Office fédéral de la cybersécurité
L'OFCS a recommandé dès le 21 octobre 2026 d'installer immédiatement les correctifs. Il a averti que les deux vulnérabilités pouvaient permettre d'exécuter du code malveillant sur un serveur, sans authentification. Référencées CVE-2026-109618 et CVE-2026-109619, elles sont notées 9,2 sur 10.
Les conseils de l'office se résument en trois gestes :
- mettre à jour sans attendre les systèmes touchés ;
- vérifier, au-delà du serveur web, les applications et appareils qui intègrent PHP ;
- signaler un incident en cas de doute : l'OFCS reçoit les annonces volontaires et tient une ligne d'astreinte 24h/24.
Ces gestes rejoignent les mesures de base de sécurité informatique que l'office conseille aux entreprises : mises à jour rapides, accès protégés et plan de réaction.
Ce que PHP2Shell change pour une PME
Notre analyse : PHP2Shell met à l'épreuve un point faible déjà connu des PME suisses, l'inventaire. Selon l'étude sur la cybersécurité des PME publiée le 22 octobre 2026, plus de 80 % des PME installent les mises à jour. Mais environ un tiers seulement tiennent un inventaire de leurs systèmes informatiques.
Or une mise à jour ne protège que les machines connues. Le site vitrine confié à une agence, la boutique en ligne ou l'outil interne hébergé chez un prestataire échappent facilement à la liste.
Une PME qui veut situer son niveau peut commencer par un test de cybersécurité PME, comme le Cybersecurity-Check. Ce bilan gratuit repère notamment les logiciels obsolètes, l'une des causes fréquentes d'attaques réussies.
Pourquoi la faille a-t-elle tardé à être corrigée ?
La PHP Foundation reconnaît qu'un problème à l'origine de la première faille avait déjà été identifié en 2024. Son potentiel d'exploitation n'avait alors pas été pleinement compris, écrit-elle dans un billet publié le 21 octobre 2026.
L'organisation attribue ce retard à des difficultés de prise de décision et au manque de ressources de son équipe de sécurité.
L'intelligence artificielle (IA) a joué un rôle important dans la découverte. La société Wiz dit avoir utilisé plusieurs modèles, dont Gemini 4 Argon de Google et GPT-5.6 Sol d'OpenAI, pour trouver les failles, bâtir des scénarios d'exploitation et vérifier les correctifs. Le chercheur Calif a aussi identifié une vulnérabilité critique avec GPT-5.6 Sol, dans le cadre de l'initiative « Patch the Planet » d'OpenAI.
Ce qu'on ne sait pas encore
Le nombre réel de serveurs vulnérables en Suisse reste inconnu, puisque la version de PHP n'est pas toujours détectable. Le relevé de Risikomonitor ne précise pas non plus combien de serveurs suisses tournent avec une version en fin de vie.
Aucune source consultée ne fait état d'une intrusion réussie en Suisse. On ignore aussi quand les sites coupés par précaution ont tous été remis en ligne.
