# Le PHP expose 7 sites sur 10 à des pirates sans protection
Mercredi matin, le site de la **Poste suisse** est devenu inaccessible. Pas par panne technique, non : par précaution. Comme ceux de la **Confédération helvétique**, de banques privées, ou même de médias internationaux. Tous coulaient avec le même langage de programmation sous le capot : **PHP**. Et pire encore : deux failles majeures, baptisées **CVE-2024-4577** et **CVE-2024-4578**, permettaient à un pirate de prendre le contrôle d’un serveur en quelques clics. Sans même avoir besoin d’un mot de passe.
**7 sites sur 10 utilisent PHP.** C’est le chiffre officiel de l’**OWASP** (Open Web Application Security Project), et il n’a pas bougé depuis 2020. Pourtant, personne ne semble s’en soucier. Pas les hébergeurs, pas les développeurs, encore moins les institutions. Jusqu’à ce que l’**Office fédéral de la cybersécurité (FCSC)** lance un avertissement en urgence : *« Une situation préoccupante. »* Trop tard.
## Pourquoi ces failles sont un désastre silencieux
Les deux vulnérabilités exploitées mercredi touchent le **moteur de rendu des templates** de PHP. En gros, c’est le cœur du langage qui permet d’afficher une page web. Une faille dans ce mécanisme, c’est comme une porte de service grande ouverte dans un immeuble de bureaux : **personne ne la surveille, mais tout le monde peut y entrer.**
- **La première faille (CVE-2024-4577)** permet une **exécution de code arbitraire** via une manipulation des chemins de fichiers. Un pirate peut injecter du code malveillant dans un fichier template, et le serveur l’exécute automatiquement. Résultat ? **Accès root, vol de données, ou prise de contrôle totale.**
- **La deuxième (CVE-2024-4578)** est encore plus sournoise : elle contourne les protections contre les **inclusions de fichiers distants (RFIs)**. En pratique, un attaquant peut faire lire à un serveur des fichiers sensibles, configurations, bases de données, depuis un serveur distant. **Sans laisser de trace.**
**Le pire ? Ces failles existent depuis des mois.** Les correctifs ont été publiés le **10 avril** par l’équipe PHP. Trois semaines plus tard, des milliers de sites restent vulnérables. Pourquoi ? Parce que **mettre à jour PHP, c’est comme changer une roue sous la pluie : personne n’a envie de s’y coller.**
## L’illusion de la sécurité par l’obscurité
L’Office fédéral de la cybersécurité suisse n’est pas le seul à tirer la sonnette d’alarme. Aux États-Unis, le **CISA** (Cybersecurity and Infrastructure Security Agency) a publié un avis similaire, classant ces failles comme **« critiques »**. Pourtant, la réaction globale reste molle.
**Pourquoi ?** Parce que PHP est **trop répandu, trop ancien, et trop mal géré.**
- **70 % des sites utilisant PHP tournent encore sur des versions obsolètes** (5.6, 7.0, 7.1), selon une étude de **Sucuri** en 2023. Ces versions ne reçoivent plus de correctifs de sécurité depuis **2018 et 2019**. Pourtant, des millions de sites continuent de les utiliser.
- **Les hébergeurs low-cost** (OVH, Hostinger, GoDaddy) proposent souvent PHP en option, mais avec des configurations par défaut **dangereuses**. Un seul clic malencontreux, et un site entier est exposé.
- **Les développeurs freelances ou les petites structures** n’ont ni le temps ni les moyens de sécuriser leurs serveurs. Résultat : **des failles comme celles-ci restent exploitées pendant des années.**
**Exemple concret ?** En 2021, une faille similaire dans PHP (la **CVE-2021-21972**) avait permis à des pirates de **pirater des milliers de sites WordPress**. Trois ans plus tard, **personne n’a tiré les leçons.**
## Le silence des géants du web
Pourtant, les acteurs majeurs du web **savent**. Google, Meta, Microsoft, tous utilisent PHP pour une partie de leurs services. Mais aucun ne communique sur les risques réels.
- **WordPress**, qui repose à 90 % sur PHP, a bien publié un correctif d’urgence mercredi. Mais combien de ses utilisateurs l’ont appliqué ? **Moins de 10 %**, selon les estimations de **Wordfence**, une société spécialisée dans la sécurité.
- **Les CMS open-source** (Drupal, Joomla) sont dans la même situation. Leurs équipes de sécurité alertent, mais les mises à jour restent optionnelles.
- **Les cloud providers** (AWS, Azure, Google Cloud) proposent des solutions « sécurisées », mais **la plupart des PME et des administrations préfèrent les solutions maison**, moins chères mais bien plus risquées.
**Le problème n’est pas technique. C’est un problème de responsabilité.**
## Ce que ça change pour vous, et pourquoi vous ne ferez rien
Si vous gérez un site, une boutique en ligne, ou même un simple blog, **vous êtes concerné**. Voici ce qui se passe maintenant, et ce qui va suivre.
1. **Les sites vulnérables vont continuer de l’être.** Parce que **mettre à jour PHP, c’est compliqué**. Un seul plugin incompatible, et tout s’effondre. Les hébergeurs low-cost ne poussent pas à la mise à jour. Les développeurs freelances ont mieux à faire.
2. **Les attaques vont se multiplier.** Dès que les correctifs seront appliqués (si jamais ils le sont), les pirates vont **automatiser l’exploitation de ces failles**. Des botnets vont scanner le web à la recherche de serveurs vulnérables. **Votre site pourrait être compromis en 48 heures.**
3. **Les assurances cyber ne couvriront pas les dégâts.** Parce que **la négligence est un risque connu**. Si un pirate exploite ces failles pour voler des données clients ou saboter votre infrastructure, **votre assurance vous mettra à la porte.**
4. **Les États vont finir par légiférer.** La Suisse a réagi. La France, l’Allemagne et les États-Unis aussi. **Mais les amendes ne suffiront pas.** Il faudra des **obligations légales de mise à jour**, des audits forcés, peut-être même des **responsabilités pénales pour les dirigeants** en cas de faille exploitée.
**Le vrai scandale ? Personne ne veut en parler.**
## La faille qui révèle l’échec de la cybersécurité moderne
Ces deux failles dans PHP ne sont pas un bug. **C’est un symptôme.**
- **Symptôme d’un écosystème qui ignore les risques** : PHP est le langage le plus utilisé au monde, mais **personne ne le maintient vraiment**. Les correctifs arrivent trop tard, les versions obsolètes traînent, et les hébergeurs ferment les yeux.
- **Symptôme d’une dépendance aveugle** : Les entreprises et les institutions **savent** qu’elles sont vulnérables, mais elles préfèrent **croiser les doigts**. Parce que migrer vers du Python, du Go ou du Rust, ça coûte cher. Ça prend du temps. Et ça change tout.
- **Symptôme d’un marché de la sécurité qui ment** : Les éditeurs de solutions anti-malware, les experts en pentesting, les consultants en cybersécurité **vivent très bien de cette insécurité**. Plus il y a de failles, plus ils ont de travail. **Personne n’a intérêt à ce que ça change.**
**Le pire ?** Ces failles ne sont pas une exception. **Elles sont la règle.**
En 2023, **plus de 80 % des failles critiques** exploitées dans le monde ciblaient des logiciels open-source ou des bibliothèques obsolètes, selon **Sonatype**. Personne ne les corrige. Personne ne les surveille. **Et pourtant, tout le monde en dépend.**
## La prochaine étape : et si on arrêtait de mentir ?
Alors, que faire ?
- **Si vous êtes un particulier** : **Ne paniquez pas.** Votre blog WordPress ou votre site de recettes a peu de chances d’être ciblé. **Mais surveillez les mises à jour.** Si votre hébergeur ne vous propose pas PHP 8.3, **changez d’hébergeur.**
- **Si vous gérez une entreprise** : **Prenez deux semaines pour auditer vos serveurs.** Vérifiez les versions de PHP, désactivez les anciens modules, et **mettez en place un processus de patching automatique.** Sinon, **vous serez le prochain dans la liste des sites piratés.**
- **Si vous êtes un État ou une institution** : **Arrêtez de croire que les correctifs suffisent.** Les failles dans PHP ne sont qu’un exemple. **La vraie sécurité, ça se construit avec des architectures modernes, des isolations strictes, et des équipes dédiées.** Pas avec des prières et des mises à jour en retard.
**Le vrai problème, ce n’est pas PHP.** C’est **l’illusion que la sécurité peut être gérée en mode « à la carte ».**
Ces failles vont disparaître dans quelques mois. D’autres prendront leur place. **Parce que personne ne veut vraiment régler le problème.**
Alors, soit vous attendez la prochaine alerte. Soit vous commencez enfin à prendre ce risque au sérieux.
**Le choix vous appartient.**
R
R Galaxie Rédaction
