Le secteur numérique africain est en état de vigilance. Deux vulnérabilités critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619 et regroupées sous le nom « PHP2Shell », ont été détectées au sein du langage PHP. Ce moteur, qui propulse près de 70 % des sites web mondiaux, présente une faille majeure permettant à des attaquants d’exécuter des commandes à distance et de prendre le contrôle de serveurs sans authentification préalable.
Une mobilisation continentale
Face à ce risque, noté 9,2 sur 10 selon le système CVSS v4.0, plusieurs organismes de cybersécurité à travers le continent ont rapidement relayé des alertes. Au Cameroun, le Centre de réponse aux incidents de sécurité informatique (CIRT.cm), dépendant de l’Agence nationale des technologies de l’information et de la communication (ANTIC), a diffusé un bulletin d’information dès le mercredi 22 octobre. Des mesures similaires ont été prises par l’Autorité nationale de cybersécurité à Djibouti.
Au Ghana, la Cyber Security Authority (CSA) et la National Information Technology Agency (NITA) ont exhorté les institutions publiques, les entreprises et les hébergeurs à agir. Les organismes publics ghanéens ont reçu pour instruction de rendre compte des mesures correctives engagées dans un délai de sept jours. Au Nigeria, le centre national de réponse aux incidents informatiques (ngCERT) a classé ces vulnérabilités comme critiques, ciblant particulièrement les établissements financiers, les opérateurs télécoms et les administrations.
Mesures de protection et mises à jour
Bien que ces failles ne visent pas spécifiquement les infrastructures africaines, elles menacent tout service numérique — sites d’information, plateformes commerciales ou services administratifs — utilisant une version vulnérable de PHP. L’emplacement géographique du serveur n’atténue pas ce risque, une organisation africaine pouvant être exposée même si son infrastructure est hébergée à l’étranger.
L’équipe de développement de PHP a publié des correctifs le mardi 21 octobre. Les versions désormais sécurisées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les experts recommandent une mise à jour immédiate des installations, notamment pour les environnements PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.
Il est rappelé aux organisations qu’une simple mise à jour du système de gestion de contenu ne suffit pas si le moteur PHP sous-jacent reste vulnérable. Pour les systèmes anciens ne bénéficiant plus d’un support direct, une vérification approfondie auprès des prestataires de maintenance est indispensable. Enfin, les entreprises externalisant leur hébergement doivent impérativement confirmer auprès de leurs fournisseurs que les correctifs ont été appliqués.
