PHP2Shell : les hébergeurs africains sommés de patcher dans l’urgence

La divulgation simultanée des bulletins CVE-2026-109618 et CVE-2026-109619, chacun noté 9,2 sur 10, place les équipes techniques africaines face à un dossier d’une sensibilité particulière. Regroupées sous l’appellation PHP2Shell, ces deux failles touchent directement l’interpréteur PHP, et non les applications qu’il fait tourner. Toute version remontant jusqu’à PHP 5.4 est concernée, ce qui, à l’échelle du continent, représente un parc considérable de sites gouvernementaux, de plateformes d’e-commerce et de systèmes de gestion internes aux administrations.

L’équipe de développement de PHP a publié dans la foulée les versions correctives 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La National Security Agency américaine et le service de cybersécurité des institutions de l’Union européenne ont appelé à une mise à jour immédiate. Dès les minutes suivant la publication, des chercheurs ont confirmé l’exploitation effective contre plusieurs applications courantes, avec des outils d’attaque déjà disponibles publiquement.

Un parc africain massivement adossé à PHP

Selon les mesures régulièrement publiées par le cabinet W3Techs, PHP motorise environ 75 % des sites web dont la technologie serveur est identifiable, un ratio stable depuis plusieurs années. Les écosystèmes applicatifs les plus répandus en Afrique francophone, WordPress, Drupal, Joomla et Magento, dépendent intégralement de cet interpréteur. Les portails de ministères, les sites de régulateurs, les plateformes de paiement local et une large part des médias en ligne entrent dans ce périmètre.

La difficulté tient au vieillissement du parc. PHP 5 et PHP 7 ne reçoivent plus de correctifs officiels depuis respectivement janvier 2019 et novembre 2022. Or, les relevés publics de serveurs web montrent qu’une proportion significative des hébergements mutualisés commercialisés sur le continent continue d’exécuter ces branches obsolètes, souvent pour maintenir la compatibilité avec des applications métiers développées il y a dix ans. Pour ces machines, aucun correctif ne viendra : seule la migration vers une branche encore maintenue, ou la coupure de l’accès public, met à l’abri d’une compromission.

Une mécanique d’attaque conçue pour le passage à l’échelle

La nature des deux vulnérabilités, une exécution de code à distance ne nécessitant aucun identifiant, correspond au scénario le plus redouté des équipes de réponse. L’attaquant n’a pas besoin de connaître un compte, ni d’exploiter un défaut de configuration : la requête malveillante suffit à obtenir un interpréteur de commandes sur le serveur ciblé. La circulation d’outils automatisés dans les heures qui ont suivi la divulgation signifie que le balayage de l’internet africain est déjà en cours.

Les précédents récents donnent la mesure du risque. En décembre 2021, la faille Log4Shell, cotée elle aussi au maximum de l’échelle, avait été exploitée massivement en moins de 48 heures contre des cibles africaines, notamment dans le secteur bancaire ouest-africain. En mai 2023, la vulnérabilité MOVEit avait touché plusieurs institutions publiques du continent via des prestataires tiers. Dans les deux cas, les délais de patch sur les systèmes africains étaient restés supérieurs à la moyenne mondiale, selon les retours d’Africa CERT et de plusieurs agences nationales.

Les régulateurs continentaux attendus sur la coordination

Face à PHP2Shell, la réponse africaine se jouera sur deux niveaux. Les agences nationales de cybersécurité, de l’ANSSI ivoirienne à l’ANSI tunisienne en passant par le CDMSI marocain et l’ANSSI sénégalaise, disposent du canal direct vers les administrations et les opérateurs d’importance vitale. Leur capacité à relayer rapidement les références CVE-2026-109618 et CVE-2026-109619, à publier une liste de versions acceptables et à vérifier l’application des correctifs sur les systèmes qu’elles supervisent déterminera l’ampleur réelle des dégâts.

Le second niveau concerne les hébergeurs commerciaux et les intégrateurs. Les grands acteurs panafricains, de Liquid Intelligent Technologies à MainOne en passant par les filiales de Raxio, hébergent une part croissante des infrastructures critiques privées. Leur politique de mise à jour forcée des piles PHP mutualisées, longtemps freinée par la crainte de casser les sites clients, pourrait devenir l’arbitre d’une crise qui, par nature, ne laisse pas le temps de la négociation technique.

Dans l’intervalle, la recommandation des équipes de réponse reste homogène : appliquer immédiatement les versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou retirer de l’exposition publique les services qui ne peuvent pas être corrigés dans la journée.

Pour aller plus loin

Panne DNS sur l’extension .shop : des sites inaccessibles le 24 septembre · Alphonse Nafack structure Douala Tech Park en SAS au Cameroun · Le Cameroun cherche 91 millions USD pour digitaliser l’état civil