CZ met en garde contre des failles critiques dans PHP qui touchent des millions de sites

Le fondateur de Binance, Changpeng Zhao, plus connu sous le nom de CZ, appelle les internautes à redoubler de prudence lorsqu’ils consultent des sites web. En cause : deux graves failles de sécurité dans PHP, le langage de programmation sur lequel repose une grande partie du web. Ces failles touchent les serveurs qui hébergent des plateformes populaires comme WordPress et Magento, et des attaques actives ont déjà été confirmées. Les administrateurs qui n’ont pas encore mis à jour leurs logiciels risquent d’exposer les visiteurs de leur site à des attaques.

En bref :

• Deux vulnérabilités PHP (CVE-2026-109618 et CVE-2026-109619) ont été corrigées le 21 octobre 2026 après une fuite prématurée de détails.
• Les attaquants peuvent exécuter du code malveillant sans authentification sur les serveurs vulnérables, ce qui peut entraîner le vol d’identifiants de connexion.
• CZ conseille aux utilisateurs de redoubler de vigilance ces prochains jours lorsqu’ils consultent des sites web.

Des failles divulguées prématurément, des correctifs publiés immédiatement

Les deux vulnérabilités, enregistrées sous les références CVE-2026-109618 et CVE-2026-109619, ont été révélées après la publication anticipée de détails techniques. Les parties responsables ont donc été contraintes de publier les mises à jour de sécurité le 21 octobre 2026 en urgence.

Ces failles permettent à des attaquants d’exécuter du code malveillant sur un serveur vulnérable sans se connecter. Les visiteurs d’un site compromis peuvent ainsi être victimes d’un vol d’identifiants de connexion ou d’attaques sur leur appareil.

Des attaques déjà en cours, tous les administrateurs n’ont pas appliqué les correctifs

Peu après la révélation des failles, des attaques réelles ont déjà été observées. Les équipes informatiques ont réagi rapidement en activant une protection WAF, une sorte de couche de protection numérique qui filtre le trafic suspect, et en installant les correctifs.

Le risque n’est toutefois pas encore écarté. Les administrateurs de sites web ne mettent pas tous leurs logiciels à jour immédiatement, si bien qu’une partie des serveurs touchés reste pour l’instant sans protection. Cela vaut notamment pour les sites qui tournent sous WordPress ou Magento, deux des plateformes les plus utilisées au monde.

CZ indique qu’il est prudent de rester vigilant ces prochains jours lors de la navigation sur le web, tant que tous les administrateurs n’ont pas appliqué les mises à jour disponibles.