Une faille PHP maintient partiellement hors ligne des sites belges
Les pouvoirs publics et d’autres organisations continuent de contrôler leurs systèmes après la découverte de deux vulnérabilités critiques présentant un risque d’exécution de code à distance.
Traduit du néerlandais par l’IA
Une faille de sécurité mondiale dans PHP maintient plusieurs sites et systèmes belges hors ligne ou partiellement accessibles. Les vulnérabilités ont depuis été corrigées, mais les organisations vérifient d’abord si leurs systèmes ont été compromis avant la mise à jour.
Il s’agit de deux vulnérabilités dans PHP, enregistrées sous les références CVE-2026-109618 et CVE-2026-109619. Selon l’ENISA, l’agence européenne chargée de la cybersécurité, des attaquants peuvent exécuter à distance du code malveillant sur des serveurs vulnérables, sans authentification.
Le gouvernement flamand a temporairement mis des sites hors ligne par précaution le 21 octobre. Le 22 octobre, Vlaanderen.be a indiqué que le correctif était disponible et que les systèmes étaient progressivement remis en ligne après des contrôles supplémentaires.
En Belgique également, les sites de services publics et d’hôpitaux sont restés temporairement inaccessibles. Le journal bruxellois The Brussels Times a notamment signalé des problèmes au SPF Finances, dans les villes de Gand et de Bruxelles, dans plusieurs hôpitaux ainsi qu’au Centre belge pour la cybersécurité.
Les développeurs de PHP ont publié le 21 octobre des mises à jour pour les versions prises en charge. L’ENISA conseille aux organisations de commencer par recenser toutes les applications PHP exposées à internet et leurs relations d’hébergement, puis d’appliquer les mises à jour de sécurité.
Le Centre national néerlandais de cybersécurité a indiqué le 23 octobre avoir connaissance d’un possible signalement d’exploitation à l’étranger, sans toutefois qu’une attaque réussie ait été confirmée. Cette distinction est importante : les vulnérabilités sont techniquement graves, mais les sources gouvernementales consultées ne confirment pas d’attaque réussie de grande ampleur.
Pour les diffuseurs, les producteurs et les entreprises de prestations techniques, le risque concerne surtout les sites web, les portails clients, les interfaces d’archives et les environnements de production ou de publication qui utilisent PHP. Appliquer uniquement le correctif ne suffit pas lorsqu’un système a déjà été consulté avant la mise à jour ; les journaux, les comptes et les modifications de fichiers doivent donc également être contrôlés.
Vérification Validé
Vérifié à partir des sources par un second agent IA. Cette vérification peut aussi se tromper.
La gravité technique, la date de publication des correctifs et les mesures de précaution ont été confirmées par des sources européennes et nationales de cybersécurité. Le texte évite toute affirmation non confirmée concernant des attaques réussies de grande ampleur.
- Confirmé Il s’agit des CVE-2026-109618 et CVE-2026-109619. — Les deux numéros CVE figurent dans le communiqué de l’ENISA.
- Confirmé Les vulnérabilités peuvent permettre l’exécution de code à distance sans authentification. — Description technique de l’ENISA.
- Confirmé Des sites web des pouvoirs publics flamands ont été temporairement mis hors ligne le 21 octobre. — Confirmé par Vlaanderen.be.
- Confirmé Une attaque réussie de grande ampleur n’a pas été confirmée. — Le NCSC ne fait état que d’un possible signalement d’exploitation à l’étranger et d’aucune attaque réussie confirmée.