Une faille de sécurité PHP met hors ligne les sites des administrations berlinoises ; la plupart sont rétablis

Vers le 21 octobre 2026, des chercheurs en sécurité ont révélé deux vulnérabilités critiques dans PHP — le langage de script sur lequel repose une grande partie des sites web du monde —, désignées CVE-2026-109618 et CVE-2026-109619 et surnommées conjointement « PHP2Shell ». Ces failles pourraient permettre à un attaquant non authentifié d'exécuter du code arbitraire sur un serveur affecté. L'Office fédéral allemand de la sécurité des technologies de l'information (BSI) a lancé une alerte urgente de niveau « orange », exigeant une mise à jour immédiate vers PHP 8.5.12 « dès aujourd'hui ».

À Berlin, l'hôpital universitaire Charité, l'Université libre de Berlin (Freie Universität), l'Université Humboldt, le site des pompiers de Berlin (Berliner Feuerwehr) et la banque alimentaire Berliner Tafel ont tous mis leurs sites hors ligne par précaution. Le portail de signalement en ligne de la police (Internetwache), tant à Berlin qu'au Brandebourg, a également cessé de fonctionner.

Les développeurs de PHP ont publié une version corrigée mercredi après-midi. Jeudi, la Charité, l'Université libre, le S-Bahn de Berlin et le site berlin.de étaient en grande partie de nouveau en ligne. Le portail de la police du Brandebourg restait hors service jeudi soir. Le ministre fédéral du Numérique, Karsten Wildberger, a déclaré que les systèmes fédéraux n'étaient pas touchés, mais a qualifié l'incident de signe que « nous entrons dans une nouvelle ère de la cybersécurité ».