Les entreprises utilisant des applications web reposant sur PHP doivent procéder à une vérification urgente de leurs infrastructures informatiques. Le 21 octobre 2026, les responsables du langage de programmation ont publié des correctifs exceptionnels pour deux vulnérabilités critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619 et regroupées sous l’appellation PHP2Shell.
Évaluées à 9,2 sur 10 selon le système international CVSS, ces failles peuvent permettre à un attaquant d’exécuter du code à distance sur un serveur vulnérable, sans disposer préalablement d’identifiants de connexion. Leur exploitation pourrait compromettre la disponibilité des applications, l’intégrité des systèmes et la confidentialité des informations qu’ils traitent.
L’alerte dépasse les seuls services informatiques. De nombreuses entreprises utilisent des applications web pour gérer leurs recrutements, diffuser leurs offres d’emploi, recevoir des candidatures, administrer des formations ou donner accès à des documents professionnels. Certaines de ces plateformes peuvent reposer directement ou indirectement sur PHP.
Les conséquences d’une compromission dépendent de l’architecture technique et des protections mises en place. Une application vulnérable peut notamment devenir un point d’entrée vers des informations personnelles, des documents internes ou d’autres composants du système d’information.
Les plateformes de recrutement méritent une attention particulière. Elles centralisent parfois des milliers de CV, de coordonnées personnelles, de parcours professionnels et de documents transmis par les candidats. Une intrusion pourrait exposer ces informations ou perturber le traitement des candidatures en cours.
Les portails collaborateurs présentent d’autres enjeux. Selon leurs fonctionnalités, ils peuvent donner accès à des bulletins de paie, des attestations, des demandes de congés ou des informations administratives. Leur indisponibilité prolongée peut désorganiser certains processus RH, notamment lorsque les démarches ont été entièrement dématérialisées.
Le risque concerne également les outils développés sur mesure, dont la maintenance dépend parfois d’un prestataire externe ou d’une équipe informatique réduite. Une application ancienne, toujours utilisée pour une fonction administrative, peut conserver une version de PHP qui ne bénéficie plus du support officiel.
Les responsables du projet PHP ont publié quatre versions corrigées : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions 8.1 et antérieures ne sont plus prises en charge officiellement par le projet, même si certains fournisseurs proposent des correctifs adaptés à leurs distributions.
La mise à jour constitue la principale mesure de protection. Les ajustements temporaires de configuration ou les dispositifs de filtrage peuvent réduire certains risques, mais ne remplacent pas l’installation des correctifs.
La divulgation des vulnérabilités a été avancée après la circulation d’informations techniques sur Internet. Initialement prévue le 22 octobre, la publication des correctifs a finalement eu lieu un jour plus tôt, afin de limiter la période pendant laquelle les systèmes exposés pouvaient être attaqués sans protection disponible.
Des chercheurs en cybersécurité ont confirmé la possibilité d’exploiter ces failles. Des tentatives d’exploitation ont également été signalées, renforçant l’urgence des opérations de mise à jour.
Cette situation met en évidence une difficulté fréquente dans les organisations : les directions métiers connaissent les fonctionnalités des applications qu’elles utilisent, mais disposent rarement d’une visibilité complète sur leurs composants techniques.
Un SIRH fourni par un éditeur, un portail de recrutement hébergé chez un prestataire et une application interne peuvent relever de trois dispositifs de maintenance différents. La responsabilité des mises à jour doit donc être clairement établie dans les contrats et les procédures d’exploitation.
Les directions des ressources humaines ont également un rôle dans l’identification des services indispensables à leur fonctionnement. La paie, la gestion administrative, les recrutements et les démarches des collaborateurs ne présentent pas les mêmes exigences de disponibilité. Cette hiérarchisation permet aux équipes informatiques de déterminer les priorités en cas de suspension préventive d’un service.
La protection des données personnelles constitue un autre point de vigilance. Une vulnérabilité ne signifie pas qu’une fuite s’est produite. En revanche, lorsqu’une compromission est suspectée, l’entreprise doit être en mesure d’identifier les informations potentiellement concernées, d’évaluer les conséquences et d’appliquer les obligations de notification prévues par la réglementation applicable.
Au Maroc, les traitements de données personnelles doivent notamment respecter les dispositions de la loi 09-08. Les entreprises doivent donc intégrer leurs obligations de protection des informations relatives aux collaborateurs et aux candidats dans leurs procédures de gestion des incidents.
L’épisode PHP2Shell rappelle enfin que la sécurité des applications RH ne dépend pas uniquement des mots de passe, des habilitations ou de la sensibilisation des utilisateurs. Les composants logiciels qui assurent leur fonctionnement nécessitent également une maintenance régulière.
La publication des correctifs ouvre désormais une phase de vérification pour les entreprises. L’identification des applications concernées, la confirmation des mises à jour et la préparation des procédures de continuité permettront de réduire les conséquences potentielles de ces vulnérabilités sur les activités RH.
