Les vulnérabilités découvertes dans PHP, langage au cœur de millions de sites, ont poussé les autorités de cybersécurité à réagir, dont la DGSSI au Maroc.
La Direction générale de la sécurité des systèmes d’information (DGSSI) a publié, mercredi 21 octobre 2026, un bulletin d’alerte classé critique sur deux failles touchant PHP, un langage très répandu pour faire fonctionner les sites et applications en ligne.
Baptisées « PHP2Shell », ces vulnérabilités portent les références CVE-2026-109618 et CVE-2026-109619. Chacune affiche une gravité de 9,2 sur 10 selon l’échelle CVSS 4.0. Elles permettraient à un pirate d’exécuter du code à distance sur un serveur, sans authentification préalable.
L’équipe de PHP avait annoncé le problème dès le 20 octobre et publié les correctifs le lendemain. Les anciennes générations du langage seraient également concernées, alors que le correctif officiel vise les versions récentes. Le même jour, l’Agence de sécurité nationale américaine (NSA) a appelé les organisations à appliquer ces mises à jour en urgence.
Par précaution, plusieurs sites publics, scolaires et hospitaliers ont été temporairement désactivés dans différents pays européens.
