Incident PHP : deux failles qui ont paralysé des millions de sites web allemands

Le 22 octobre 2026, le Tagesspiegel a publié une analyse détaillée expliquant comment deux vulnérabilités PHP récemment révélées (CVE-2026-109618 et CVE-2026-109619, baptisées PHP2Shell) ont provoqué une fermeture de sites web à l'échelle nationale. PHP, qui fait fonctionner selon les estimations une grande partie des sites web dans le monde — dont des portails d'actualités basés sur WordPress, des boutiques de commerce électronique et des systèmes gouvernementaux —, a vu ses failles rendues publiques par erreur avant qu'un correctif ne soit prêt. Le BSI (l'office fédéral allemand de la sécurité informatique) a publié son avertissement urgent à 14 h 06 mercredi, exigeant que les administrateurs « installent dès aujourd'hui la mise à jour de sécurité ».

L'ampleur de la fermeture a été remarquable : en quelques heures, des dizaines d'institutions publiques allemandes ont mis leurs sites hors ligne, dont l'hôpital de la Charité, l'Université libre de Berlin et l'Université Humboldt, les services d'incendie de Berlin et d'autres villes, ainsi que les portails de signalement en ligne de la police de Berlin et du Brandebourg. Les développeurs de PHP ont publié PHP 8.5.12 dès l'après-midi même.

L'article citait des experts en cybersécurité avertissant que les attaques assistées par intelligence artificielle réduisent à quelques heures, et non plus à quelques jours, le délai entre la divulgation d'une vulnérabilité et son exploitation massive — qualifiant cela de « tournant » dans la sécurité des infrastructures. Le ministre fédéral du Numérique, Karsten Wildberger, a confirmé que les systèmes fédéraux n'avaient pas été touchés, tout en reconnaissant que l'incident illustrait la nécessité de capacités de correction quasi instantanées.