La DGSSI classe les deux vulnérabilités PHP2Shell au niveau critique
Ce qui se passe sur Internet relève d’une urgence de sécurité : une brique logicielle commune à de nombreux sites doit être corrigée rapidement. Dans son bulletin du 21 octobre, la Direction générale de la sécurité des systèmes d’information, l’autorité marocaine de cybersécurité, avertit que les failles PHP2Shell pourraient permettre à un attaquant distant d’exécuter du code sur un serveur vulnérable. Elle signale également la disponibilité d’un code de démonstration d’exploitation.
PHP travaille dans les coulisses : il permet notamment de produire des pages et de faire fonctionner des applications Web. L’équipe du langage a publié quatre versions correctives : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Elle appelle à une mise à jour immédiate des installations concernées. 2026
Pourquoi fermer des sites ? Pour réduire leur exposition pendant l’intervention. Aux Pays-Bas, le gouvernement confirme avoir temporairement retiré plusieurs services de l’accès public. Son communiqué précise qu’au moment de sa publication, aucun signal d’exploitation active n’avait été constaté. Une interruption peut donc traduire une décision de protection, sans prouver une intrusion. Rijksoverheid.nl
Le Maroc a de bonnes raisons de prendre l’alerte au sérieux. Au 21 octobre, W3Techs mesure une utilisation de PHP sur 75,4 % des sites en « .ma » dont le langage côté serveur est connu. Attention au raccourci : cela ne signifie pas que trois sites marocains sur quatre ont été piratés. Cette statistique ne renseigne ni leur version de PHP, ni leurs protections, ni l’installation des correctifs. w3techs.com
Pour le Maroc, l’urgence est de vérifier les serveurs et la maintenance
Des « leaks massifs » sont-ils possibles ? Une compromission peut ouvrir la voie à un accès non autorisé à des données. Mais il faut distinguer quatre étapes : un logiciel vulnérable, une tentative d’attaque, une intrusion réussie et une extraction d’informations. L’existence de la première ne démontre pas les suivantes. À ce stade de notre vérification, aucune preuve publique suffisamment étayée ne permet d’attribuer une fuite massive marocaine à PHP2Shell.
Pour les administrations, entreprises, commerces et médias concernés, la première démarche consiste à demander à leur équipe technique ou à leur hébergeur une confirmation précise : quels services utilisent PHP, quels correctifs ont été appliqués et quelles vérifications ont été réalisées ? WordPress rappelle qu’une mise à jour de son seul logiciel ne résout pas ces failles : l’intervention porte sur PHP, au niveau de l’hébergement.
Si une correction immédiate est impossible, l’isolement temporaire des équipements affectés fait partie des réponses recommandées par le CERT-FR. Une fermeture doit donc être évaluée techniquement, en tenant compte de l’exposition et de la continuité du service.
Cet épisode révèle aussi une fragilité moins spectaculaire : la maintenance des fondations du Web. La PHP Foundation reconnaît que le traitement d’un problème ancien a été retardé par des difficultés de décision et un manque de ressources. C’est une leçon pour notre transformation numérique : financer un portail ne suffit pas ; il faut financer durablement son entretien.
La bonne question n’est donc pas seulement : « Notre site fonctionne-t-il ? » Elle devient : « Qui peut démontrer qu’il est corrigé et surveillé ? »
PHP travaille dans les coulisses : il permet notamment de produire des pages et de faire fonctionner des applications Web. L’équipe du langage a publié quatre versions correctives : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Elle appelle à une mise à jour immédiate des installations concernées. 2026
Pourquoi fermer des sites ? Pour réduire leur exposition pendant l’intervention. Aux Pays-Bas, le gouvernement confirme avoir temporairement retiré plusieurs services de l’accès public. Son communiqué précise qu’au moment de sa publication, aucun signal d’exploitation active n’avait été constaté. Une interruption peut donc traduire une décision de protection, sans prouver une intrusion. Rijksoverheid.nl
Le Maroc a de bonnes raisons de prendre l’alerte au sérieux. Au 21 octobre, W3Techs mesure une utilisation de PHP sur 75,4 % des sites en « .ma » dont le langage côté serveur est connu. Attention au raccourci : cela ne signifie pas que trois sites marocains sur quatre ont été piratés. Cette statistique ne renseigne ni leur version de PHP, ni leurs protections, ni l’installation des correctifs. w3techs.com
Pour le Maroc, l’urgence est de vérifier les serveurs et la maintenance
Des « leaks massifs » sont-ils possibles ? Une compromission peut ouvrir la voie à un accès non autorisé à des données. Mais il faut distinguer quatre étapes : un logiciel vulnérable, une tentative d’attaque, une intrusion réussie et une extraction d’informations. L’existence de la première ne démontre pas les suivantes. À ce stade de notre vérification, aucune preuve publique suffisamment étayée ne permet d’attribuer une fuite massive marocaine à PHP2Shell.
Pour les administrations, entreprises, commerces et médias concernés, la première démarche consiste à demander à leur équipe technique ou à leur hébergeur une confirmation précise : quels services utilisent PHP, quels correctifs ont été appliqués et quelles vérifications ont été réalisées ? WordPress rappelle qu’une mise à jour de son seul logiciel ne résout pas ces failles : l’intervention porte sur PHP, au niveau de l’hébergement.
Si une correction immédiate est impossible, l’isolement temporaire des équipements affectés fait partie des réponses recommandées par le CERT-FR. Une fermeture doit donc être évaluée techniquement, en tenant compte de l’exposition et de la continuité du service.
Cet épisode révèle aussi une fragilité moins spectaculaire : la maintenance des fondations du Web. La PHP Foundation reconnaît que le traitement d’un problème ancien a été retardé par des difficultés de décision et un manque de ressources. C’est une leçon pour notre transformation numérique : financer un portail ne suffit pas ; il faut financer durablement son entretien.
La bonne question n’est donc pas seulement : « Notre site fonctionne-t-il ? » Elle devient : « Qui peut démontrer qu’il est corrigé et surveillé ? »
Question principale : les failles PHP2Shell peuvent-elles provoquer des fuites de données au Maroc ?
Réponse courte : les failles PHP2Shell présentent un risque pour les serveurs marocains concernés et non corrigés. La DGSSI a publié une alerte critique le 21 octobre 2026. Cependant, un risque de compromission ne constitue pas la preuve d’un vol de données. Les sources consultées n’établissent pas de fuite massive marocaine liée à cet épisode.
1-Pourquoi des sites gouvernementaux ferment-ils par précaution ?
Pour empêcher l’exploitation d’une faille pendant l’installation des correctifs. Cette fermeture temporaire réduit l’exposition des serveurs et protège les données. Elle ne signifie pas nécessairement qu’un piratage a eu lieu.
2. Comment savoir si son hébergeur a corrigé PHP ?
Demandez-lui une confirmation écrite précisant la version de PHP utilisée et l’application des correctifs contre PHP2Shell. Le panneau d’hébergement peut afficher la version, mais certains fournisseurs appliquent des corrections sans changer son numéro apparent.
3. Une mise à jour de WordPress suffit-elle ?
Non. Ces vulnérabilités concernent PHP, le logiciel qui fait fonctionner WordPress sur le serveur. L’hébergeur ou l’administrateur doit intervenir à ce niveau. Actualiser WordPress et ses extensions reste nécessaire pour leur propre sécurité.
4. Quelle différence entre une faille et une fuite de données ?
Une faille est une faiblesse exploitable. Une fuite correspond à une exposition ou une divulgation effective d’informations. La première représente un risque ; elle ne prouve pas la seconde.
1-Pourquoi des sites gouvernementaux ferment-ils par précaution ?
Pour empêcher l’exploitation d’une faille pendant l’installation des correctifs. Cette fermeture temporaire réduit l’exposition des serveurs et protège les données. Elle ne signifie pas nécessairement qu’un piratage a eu lieu.
2. Comment savoir si son hébergeur a corrigé PHP ?
Demandez-lui une confirmation écrite précisant la version de PHP utilisée et l’application des correctifs contre PHP2Shell. Le panneau d’hébergement peut afficher la version, mais certains fournisseurs appliquent des corrections sans changer son numéro apparent.
3. Une mise à jour de WordPress suffit-elle ?
Non. Ces vulnérabilités concernent PHP, le logiciel qui fait fonctionner WordPress sur le serveur. L’hébergeur ou l’administrateur doit intervenir à ce niveau. Actualiser WordPress et ses extensions reste nécessaire pour leur propre sécurité.
4. Quelle différence entre une faille et une fuite de données ?
Une faille est une faiblesse exploitable. Une fuite correspond à une exposition ou une divulgation effective d’informations. La première représente un risque ; elle ne prouve pas la seconde.
