L’ETH Zurich hors ligne après des failles dans PHP
Mercredi 21 octobre, des correctifs ont été publiés pour deux vulnérabilités critiques du langage PHP. Par précaution, l’ETH Zurich a mis temporairement hors ligne une partie de ses services. Aucune attaque n’a été constatée à l’école à ce jour, mais ailleurs les tentatives d’exploitation se comptent déjà par millions.
Sommaire
L’École polytechnique fédérale de Zurich (ETH) n’a pas subi de cyberattaque, assure l’institution scientifique zurichoise. Mercredi 21 octobre 2026, une panne d’ampleur a touché son site internet et bloqué des serveurs, empêchant chercheurs et étudiants de transférer des données. La raison ? Des mises à jour de sécurité ont été publiées pour remédier à deux vulnérabilités graves du langage de programmation PHP, utilisé dans le monde entier pour faire fonctionner de nombreux sites et applications web, notamment ceux bâtis sur le système de gestion de contenu WordPress. Ces failles pourraient permettre à des pirates d’accéder à distance aux systèmes concernés et d’y exécuter du code malveillant. À ce jour, aucune attaque n’a toutefois été constatée à l’ETH.
L’école a réagi de manière préventive, dès la divulgation des failles. L’équipe « Cyber and Information Security » (CISEC) de ses services informatiques a identifié les systèmes potentiellement concernés et travaille avec les services compétents de l’ETH à la mise en œuvre des mesures nécessaires. Le site central ethz.ch et Staffnet ne sont pas directement touchés. En revanche, les sites WordPress des unités de l’ETH, ainsi que d’autres services et pages en ligne reposant sur PHP, ont été temporairement mis hors ligne. Cela peut entraîner, dans certains cas, des restrictions ponctuelles de disponibilité, précise Christoph Elhardt, porte-parole de l’ETH.
Une faille dans PHP, pas dans WordPress
Les deux vulnérabilités, regroupées sous le nom de « PHP2Shell », permettent d’exécuter du code malveillant à distance sur des serveurs. Elles portent les références CVE-2026-109618 et CVE-2026-109619 et ont reçu la note critique de 9,2 sur 10. Elles se situent dans PHP lui-même, et non dans WordPress. Celui-ci en dépend, comme Drupal, Joomla ou MediaWiki, le logiciel qui fait tourner Wikipédia. On estime que PHP équipe environ 70 % des sites dont la technologie est identifiable. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Commentaires
Les commentaires sont les bienvenus ! Pour préserver la qualité des échanges, merci de respecter notre charte des commentaires.