Comment les nouvelles vulnérabilités PHP menacent les particuliers

Le 21 octobre, deux vulnérabilités critiques ont été divulguées dans PHP, le langage de script utilisé par de nombreux sites web et services en ligne : CVE-2026-109618 et CVE-2026-109619. Des attaquants peuvent les exploiter pour exécuter à distance des commandes sur n’importe quel serveur exécutant PHP, sans aucune authentification. L’exploit a été baptisé PHP2Shell.

L’équipe de sécurité de PHP a annoncé une mise à jour d’urgence à venir le 20 octobre et a publié dès le lendemain des correctifs pour les vulnérabilités.

Auparavant, nous avons présenté les détails techniques de ces vulnérabilités et expliqué ce que les entreprises et les administrateurs de serveurs doivent faire. Vous avez peut-être ignoré cette actualité en toute tranquillité parce que vous ne gérez aucun serveur — malheureusement, le problème ne concerne pas uniquement les entreprises.

Près de 70 % des sites web utilisent PHP, notamment des services que nous utilisons chaque jour : wikis, boutiques en ligne, appareils connectés dotés d’interfaces web, systèmes de stockage en réseau domestiques (NAS), contrôleurs de maison connectée, et bien plus encore.

Aujourd’hui, nous expliquons comment ces vulnérabilités peuvent vous affecter personnellement et ce que vous pouvez faire pour réduire les risques.

Comment ces vulnérabilités peuvent affecter les particuliers

Vol de comptes et de données personnelles

La vulnérabilité permet à un attaquant de dérober des jetons d’authentification dans la mémoire d’un serveur. Ces jetons fonctionnent en quelque sorte comme des laissez-passer électroniques : ils indiquent à un site web que l’utilisateur est déjà connecté. Ainsi, un attaquant pourrait accéder au compte de quelqu’un d’autre sans saisir de mot de passe ni de code d’authentification à deux facteurs, mettant en danger les messages, documents, adresses de livraison, historiques de commandes et autres informations confidentielles.

Perte de fichiers sur les appareils domestiques

Si vous utilisez chez vous un système de stockage en réseau (NAS) ou un système de vidéosurveillance reposant sur une version vulnérable de PHP, il peut lui aussi être exposé. Selon le niveau d’accès obtenu, les attaquants pourraient copier, supprimer ou chiffrer les fichiers auxquels ils parviennent à accéder.

Infection par des logiciels malveillants

Si un attaquant prend le contrôle d’un site web vulnérable, il peut pratiquement l’utiliser à sa guise : inciter les visiteurs à télécharger un fichier malveillant ou à cliquer sur un lien de phishing, afficher des instructions dangereuses, remplacer des formulaires de paiement ou des pages de connexion par des versions malveillantes — et la liste est encore longue. Ainsi, une personne visitant un site web légitime pourrait non seulement perdre l’accès à son compte, mais également perdre de l’argent ou infecter accidentellement son appareil avec un logiciel malveillant.

Voici quelques exemples de services directement touchés par ces vulnérabilités.

Quels services sont concernés par les vulnérabilités PHP

Jeedom

Jeedom est une plateforme de maison connectée qui permet de contrôler l’éclairage, les capteurs, le chauffage, les volets et les appareils IoT domestiques. Les attaquants pourraient en abuser de nombreuses façons : désactiver l’alarme, surveiller les périodes d’absence des occupants, accéder à la vidéo de l’interphone, etc.

Les développeurs ont confirmé que la nouvelle vulnérabilité affectait leur application et ont déjà publié une mise à jour d’urgence, Jeedom 4.6.2. Les utilisateurs doivent exécuter la mise à jour deux fois pour qu’elle fonctionne correctement. Selon les développeurs, une version entièrement corrigée destinée aux particuliers sera publiée dans les prochains jours.

Les sites web que nous utilisons tous les jours

Comme indiqué plus haut, PHP est utilisé par environ 70 % des sites web. Cela ne signifie pas qu’ils sont tous vulnérables : tout dépend de la version de PHP utilisée et du fait que les propriétaires du site l’aient déjà mise à jour ou non. De nombreux sites gouvernementaux en Europe ont déjà suspendu leurs activités en raison de la nouvelle vulnérabilité.

Malheureusement, un site web peut rester vulnérable même s’il semble fonctionner normalement. Un attaquant pourrait potentiellement prendre le contrôle de n’importe quel site légitime dont le serveur n’a pas encore été corrigé. Il pourrait falsifier des pages de paiement ou de connexion, héberger des fichiers malveillants ou convaincre les utilisateurs de télécharger une » mise à jour urgente » qui serait en réalité un logiciel malveillant.

Les utilisateurs ordinaires ne disposent d’aucun moyen fiable pour vérifier si ces instructions ou fichiers sont sûrs. Veillez donc à utiliser une protection fiable contre le phishing et les logiciels malveillants. Si vous pensez que vos données ont pu être volées, vérifiez les sessions actives dans les paramètres de votre compte. Si vous constatez une activité suspecte ou des appareils que vous ne reconnaissez pas, déconnectez toutes les sessions actives et modifiez votre mot de passe. Utilisez un gestionnaire de mots de passe : il peut générer un mot de passe réellement robuste et unique que vous n’aurez pas besoin de mémoriser.

Jeux video

Mauvaise nouvelle pour les joueurs : certains jeux vidéo dont les serveurs utilisent PHP sont également exposés. Si vous ne voulez pas que des attaquants prennent le contrôle de vos comptes, pensez à mettre à jour les mots de passe de vos plateformes de jeu, boutiques et comptes.

Pour gagner du temps afin de déployer les mises à jour, certains développeurs ont temporairement mis leurs services hors ligne. Final Fantasy XIV, Pokemon Champions, des jeux de Bandai Namco Entertainment, Uma Musume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond et bien d’autres sont passés en maintenance d’urgence. Nintendo Switch Online ainsi que les boutiques GOG et Steam ont également été touchés.

Malheureusement, les conséquences ont parfois été encore plus radicales. Hier, les développeurs de World Quest ont annoncé la fermeture définitive du jeu après 15 ans d’existence : il reposait sur une infrastructure obsolète dont la correction aurait été extrêmement complexe et coûteuse. Pour la même raison, le jeu mobile Please Save My Pandemonium! a fermé après plus de dix ans d’exploitation.

Stockage en réseau domestique (NAS)

Les » clouds domestiques » sont devenus populaires ces dernières années, et ce n’est pas sans raison : de nombreux utilisateurs préfèrent conserver leurs sauvegardes de données chez eux plutôt qu’en ligne. Plusieurs entreprises fabriquent des appareils NAS et au moins trois d’entre elles — QNAP, Synology et ASUSTOR — ont indiqué que ces vulnérabilités affectaient leurs produits. Une mise à jour a également été publiée pour Unraid, un système d’exploitation destiné aux serveurs domestiques, aux systèmes de stockage en réseau et aux serveurs multimédias.

QNAP

Le fabricant a confirmé que les vulnérabilités affectaient plusieurs versions de ses systèmes d’exploitation NAS — QTS et QuTS hero — ainsi que des applications comme QuMagie, Note Station 3 et certaines versions de QVR Surveillance. Une attaque réussie pourrait mettre en danger les photos, documents, notes et enregistrements de caméras.

Au moment de la publication, QNAP prépare encore ses mises à jour. La priorité consiste donc à déconnecter temporairement le NAS d’Internet. QNAP recommande de désactiver la redirection de ports sur le routeur, d’empêcher le NAS d’ouvrir automatiquement des ports et de n’autoriser l’accès au panneau d’administration que depuis le réseau domestique ou via un VPN.

Synology

Les deux vulnérabilités ont été officiellement confirmées dans les paquets PHP 7.3, 7.4 et 8.0 à 8.4, ainsi que dans Mail Station et Synology Calendar. Des correctifs ont déjà été publiés pour PHP à partir de la version 7.4, ainsi que pour Mail Station et Synology Calendar. PHP 7.3 ne sera pas corrigé. L’entreprise précise également que le composant PHP intégré à son système d’exploitation n’est pas accessible depuis l’extérieur de l’appareil, de sorte que le risque d’attaque est très faible.

ASUSTOR

ASUSTOR a également confirmé officiellement les deux vulnérabilités et supprimé immédiatement d’App Central les paquets PHP 7, 7.3, 7.4 et 8.1. L’entreprise recommande d’effectuer immédiatement une sauvegarde des données, de supprimer les anciens paquets PHP et d’utiliser PHP 8.3 ou 8.4.

Unraid

Dans la mise à jour du système d’exploitation publiée aujourd’hui, PHP a été mis à niveau vers la version 8.4.27, qui intègre les correctifs de ces vulnérabilités. Les développeurs recommandent à tous les utilisateurs de passer à Unraid 7.3.4. Les conteneurs disposant de leur propre installation PHP doivent être mis à jour séparément : la nouvelle version de PHP incluse dans le système d’exploitation ne remplace pas celle installée dans les conteneurs.

Au moment de la publication, nous n’avions trouvé aucune confirmation publique de la part d’autres grands fabricants, comme TerraMaster, UGREEN, Buffalo ou Western Digital, indiquant que leurs appareils étaient affectés par ces vulnérabilités — seulement des discussions d’utilisateurs sur des forums.

Cependant, le fait que seuls certains fabricants de NAS aient confirmé le problème jusqu’à présent ne garantit pas que vos appareils soient à l’abri, en particulier s’ils sont relativement anciens ou proviennent d’un fabricant peu connu ou qui n’existe plus. Dans ce cas, commencez par déconnecter ces appareils d’Internet tout en les laissant accessibles uniquement sur le réseau local, puis vérifiez s’ils sont vulnérables.

Stockage cloud Nextcloud

Nextcloud est une plateforme gratuite et open source qui permet de créer son propre espace de stockage cloud et constitue une alternative à Google Drive, Dropbox et Microsoft OneDrive. Elle permet de stocker et de synchroniser des fichiers sur plusieurs appareils, de les partager avec d’autres utilisateurs et de travailler avec des documents, des photos, des calendriers et des contacts. Les données peuvent être stockées sur votre propre serveur ou NAS plutôt que sur les serveurs d’une entreprise tierce.

Si vous stockez des données importantes dans Nextcloud, vérifiez la configuration de votre instance cloud. Si vous utilisez Nextcloud All-in-One, effectuez la mise à jour vers la version 14.4.1, dans laquelle la vulnérabilité a déjà été corrigée.

Si votre installation Nextcloud est configurée autrement, vous devez mettre à jour PHP vous-même sur l’appareil ou le serveur.

Comment protéger vos appareils et vos données

• Utilisez une protection contre le phishing et les logiciels malveillants. Notre solution de sécurité bloque automatiquement les pages de phishing et les logiciels malveillants, même lorsque les attaquants les hébergent sur des sites web légitimes.
• Surveillez les mises à jour. Si vous possédez un système de stockage en réseau, une solution de maison connectée, un serveur domestique, un serveur multimédia ou tout autre appareil doté d’une interface web, commencez par consulter le site du fabricant et installez toutes les mises à jour disponibles. Si aucune mise à jour n’est encore disponible, désactivez temporairement l’accès de l’appareil à Internet.
• Utilisez des mots de passe robustes. La plupart des gens réutilisent le même mot de passe, ou des variantes de celui-ci, sur plusieurs sites web. Si un attaquant récupère l’un de ces mots de passe sur un serveur vulnérable, il peut également être en mesure de compromettre vos autres comptes. Nous vous recommandons de générer et de stocker des mots de passe robustes et uniques dans Kaspersky Password Manager, afin de ne pas avoir à mémoriser vous-même vos identifiants. Veillez également à activer l’authentification à deux facteurs sur tous vos comptes importants — idéalement à l’aide de codes à usage unique générés par le même gestionnaire de mots de passe.
• Conservez une sauvegarde hors ligne de vos fichiers importants. Ne comptez pas uniquement sur le stockage cloud : assurez-vous de conserver une sauvegarde de tous vos documents importants sur un disque dur ainsi que sur un périphérique externe. Pour en savoir plus sur la manière d’effectuer correctement vos sauvegardes, consultez notre article Internet ne se souvient pas tout à fait de tout.

Quels autres risques peuvent menacer les appareils de votre domicile ? Consultez nos articles : Quand votre TV devient un cheval de Troie : les nouveaux risques liés aux proxys malveillants Les ransomwares s’attaquent désormais aux sauvegardes personnelles Votre décodeur TV met-il votre réseau à la disposition d’autres utilisateurs ? Votre routeur travaille-t-il secrètement pour des services de renseignement étrangers ? Comment protéger votre maison connectée

Quels autres risques peuvent menacer les appareils de votre domicile ? Consultez nos articles :

• Quand votre TV devient un cheval de Troie : les nouveaux risques liés aux proxys malveillants
• Les ransomwares s’attaquent désormais aux sauvegardes personnelles
• Votre décodeur TV met-il votre réseau à la disposition d’autres utilisateurs ?
• Votre routeur travaille-t-il secrètement pour des services de renseignement étrangers ?
• Comment protéger votre maison connectée