Le 21 octobre 2026, les équipes de PHP et de Node.js ont publié en urgence des correctifs de sécurité. Les correctifs concernent des failles jugées très critiques, et les attaques ont déjà commencé pour PHP.
PHP2Shell – attaques déjà en cours
PHP2Shell regroupe deux vulnérabilités de PHP évaluées à 9,2 sur 10. Elles permettent de prendre le contrôle d’un site avec une simple requête, sans aucun mot de passe. Les premiers essais ont été détectés le 17 octobre par le service de renseignement sur les menaces d’Amazon, soit quatre jours avant la diffusion du correctif. Cloudflare, qui protège une large partie du Web, a enregistré quelques milliers de tentatives avant l’annonce officielle, puis plusieurs millions dans les heures qui ont suivi. Les attaquants ont même modifié leurs requêtes pour contourner les protections. Aucune victime n’a encore été rendue publique, mais le volume d’essais indique que chaque site PHP non mis à jour sera testé, quel que soit son niveau de trafic.
Node.js – dix failles corrigées
Le même jour, le projet Node.js a corrigé dix failles sur toutes les versions maintenues. La plus grave, identifiée sous le numéro CVE‑2026‑111497, touche la décompression des données au format Brotli ; un serveur qui reçoit ou télécharge des fichiers compressés préparés par un attaquant pourrait, en théorie, voir son accès compromis. Deux autres vulnérabilités permettent de tromper la vérification des certificats HTTPS, facilitant ainsi l’interception de communications. Aucun incident réel n’a été signalé à ce jour. Un code de démonstration a été publié le 22 octobre, mais il ne fonctionne que sur une version volontairement affaiblie de Node.js. Les versions Node.js 20 ou antérieures ne bénéficient plus de correctifs, il convient donc de les mettre à jour rapidement.
GitLab en auto‑hébergement
De nombreuses équipes installent GitLab sur leurs propres serveurs pour gérer le code source. Le 21 octobre, GitLab a corrigé une faille notée 10/10, exploitable sans compte. Bien qu’aucune attaque ne soit confirmée, la compromission d’un serveur GitLab donne accès au code, aux mots de passe et aux environnements de production. Une autre faille, également notée 10/10, est exploitée depuis septembre. Les utilisateurs de GitLab.com n’ont aucune action à entreprendre.
Plex Media Server
Plex, utilisé pour diffuser vidéos et musiques depuis un serveur personnel ou d’entreprise, compte quatre failles corrigées depuis août mais exploitées depuis le 17 octobre. Les attaquants installent un logiciel de minage de cryptomonnaie et laissent une porte dérobée pour un accès futur. Un serveur Plex qui n’a pas été mis à jour depuis l’été a très probablement déjà été compromis ; il faut le mettre à jour et vérifier l’absence de programmes malveillants.
Conséquences pour l’entreprise
Les compromissions de serveurs Plex illustrent les objectifs des cybercriminels : installer un accès persistant, exploiter les ressources du serveur et garder la porte ouverte. Pour une entreprise, les impacts peuvent inclure :
– Vol de données clients, entraînant une notification à la CNIL sous 72 heures.
– Site piraté, rempli de pages de spam ou signalé comme dangereux par Google, ce qui fait chuter le référencement.
– Serveur ralenti, bloqué ou suspendu par l’hébergeur.
– Réutilisation de clés d’accès (paiement, cloud, emailing) sur d’autres services.
Recommandations de mise à jour
1. Dressez l’inventaire des outils qui tournent sur vos serveurs : sites, applications, services installés.
2. Sur un hébergement mutualisé ou infogéré, demandez par écrit à votre hébergeur la mise en place des correctifs.
3. Sur un serveur sans suivi, faites installer les versions corrigées par un développeur ou un administrateur système, en commençant par PHP et Plex.
4. Une fois les mises à jour appliquées, changez les mots de passe et les clés d’accès sensibles.
Faire appel à un professionnel
Si vous ne connaissez pas la version de PHP ou de Node.js qui alimente votre site, ou si personne ne s’en occupe depuis la mise en ligne, un expert peut réaliser le pointage et appliquer les correctifs rapidement. Publiez un projet « Mise à jour de sécurité PHP ou Node.js » sur Codeur.com pour obtenir des devis de développeurs et d’administrateurs système freelance.
Sécuriser votre activité en tant que freelance
Les demandes de mise à jour vont se multiplier dans les prochains jours. Inscrivez vos compétences PHP, Node.js ou GitLab sur votre profil Codeur.com afin d’être visible auprès des clients recherchant de l’aide.
Source : Codeur
Service
Création de site web professionnel sur mesure pour PME
Création de sites web modernes et sur mesure pour PME, entreprises et organisations à partir de 95 000 FCFA
À partir de 95 000 F CFADécouvrir le service
