Les vulnérabilités, identifiées comme CVE-2026-109618 et CVE-2026-109619 et collectivement appelées « PHP2Shell », pourraient permettre aux attaquants de prendre le contrôle des serveurs concernés sans authentification.
Les vulnérabilités, identifiées comme CVE-2026-109618 et CVE-2026-109619 et collectivement appelées « PHP2Shell », pourraient permettre aux attaquants de prendre le contrôle des serveurs concernés sans authentification.
Autorité ghanéenne de cybersécurité (CSA) et l'Agence nationale des technologies de l'information (NITA) ont publié une alerte commune en matière de cybersécurité avertissant les institutions gouvernementales, les entreprises, les propriétaires de sites Web, les fournisseurs d'hébergement et les opérateurs d'infrastructures d'informations critiques de deux vulnérabilités graves affectant PHP, un langage de programmation largement utilisé pour alimenter les sites Web et les services en ligne. L'alerte a été émise à Accra le 22 octobre 2026.
Les vulnérabilités, identifiées comme CVE-2026-109618 et CVE-2026-109619 et collectivement appelées « PHP2Shell », pourraient permettre aux attaquants de prendre le contrôle des serveurs concernés sans authentification. Une exploitation réussie pourrait exposer des informations sensibles, perturber les services en ligne et fournir aux attaquants un point d'entrée dans le réseau plus large d'une organisation.
Le projet PHP a publié des correctifs de sécurité dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les deux agences ont exhorté les organisations concernées à installer la version corrigée appropriée, à mettre à niveau vers une version ultérieure prise en charge ou à appliquer un package du fournisseur confirmé comme contenant les correctifs. Ils ont averti que la mise à jour des thèmes ou des plugins de sites Web ne suffirait pas à résoudre les vulnérabilités du logiciel PHP sous-jacent.
Dans le cadre de cette réponse, les organisations ont été invitées à identifier tous les sites Web, applications et serveurs concernés exécutant PHP, y compris les systèmes gérés par des prestataires de services externes. Les plateformes accessibles sur Internet et les services publics essentiels devraient être prioritaires lors du processus d’évaluation et de remédiation.
Les agences ont également conseillé aux organisations d'installer immédiatement les mises à jour de sécurité, de redémarrer les services si nécessaire et de vérifier que le logiciel corrigé est en cours d'exécution. Lorsqu'une mise à jour immédiate n'est pas possible, les services concernés doivent être temporairement mis hors ligne. Les mesures de protection temporaires, ont-ils souligné, ne doivent pas être considérées comme un substitut à l’installation de correctifs.
Les organisations ont en outre été chargées d'enquêter sur les signes potentiels de compromission, notamment les entrées ou processus de journal inhabituels, les comptes d'administrateur inattendus et les modifications non autorisées des fichiers du site Web. Les systèmes suspects doivent être isolés et les preuves pertinentes préservées. Les propriétaires de sites Web doivent également obtenir une confirmation écrite des fournisseurs d'hébergement, des développeurs et des administrateurs système indiquant que les systèmes concernés ont été identifiés et corrigés.
Pour les institutions gouvernementales, l’alerte confie la responsabilité aux responsables institutionnels de garantir que les équipes TIC et les prestataires de services réagissent de toute urgence. La NITA coordonnera le soutien technique pour les actifs et services numériques du gouvernement, tandis que le CSA supervisera le signalement des incidents et la réponse. Les institutions gouvernementales doivent également tenir à jour des inventaires d'actifs numériques et nommer des responsables responsables conformément au programme gouvernemental d'assurance numérique (GovDAP) de la NITA.
Toutes les agences gouvernementales ont eu sept jours pour mettre en œuvre les mesures requises et signaler leurs mesures correctives au CSA et à la NITA.
Le public a également été mis en garde contre les messages frauduleux prétendant offrir une « mise à jour de sécurité PHP » et demandant aux destinataires de télécharger des fichiers, de divulguer des mots de passe ou de fournir des informations de paiement. Il est conseillé aux propriétaires de sites Web d'obtenir des mises à jour de sécurité uniquement auprès de sources de logiciels officielles ou de fournisseurs de services vérifiés.
Les organisations et les individus qui soupçonnent une compromission ou un incident de cybersécurité peuvent contacter le CSA en appelant ou en envoyant un SMS au 292, ou en envoyant un e-mail à report@csa.gov.gh. Les institutions gouvernementales recherchant une coordination des services numériques ou un soutien GovDAP peuvent contacter NITA à govdap@nita.gov.gh ou appeler le 055 249 9661.
L'alerte, référencée CSA/COMMS/PR/2026-10/02, dirige les équipes techniques vers la page des versions de sécurité du projet PHP à l'adresse php.net/archive/2026.php. Les agences ont exhorté toutes les organisations concernées à traiter les vulnérabilités comme une question de sécurité urgente et à prendre des mesures immédiates.
