Le Centre canadien pour la cybersécurité a publié une déclaration au sujet de vulnérabilités critiques dans PHP Hypertext Preprocessor (PHP), le langage de script qui fait tourner une grande part des sites Web et des services en ligne dans le monde. La déclaration, datée du 21 octobre 2026 et publiée depuis Ottawa, indique que le Centre travaille avec des partenaires gouvernementaux et des acteurs de l'industrie canadienne pour évaluer ces failles et y répondre.

Selon le Centre canadien pour la cybersécurité, qui fait partie du Centre de la sécurité des télécommunications Canada, ces vulnérabilités pourraient, dans certaines conditions, permettre à un acteur malveillant d'exécuter des commandes non autorisées sur des systèmes touchés, et ce, sans authentification. Ce dernier point est déterminant. Aucun justificatif d'identité, aucune session, aucune invite MFA à contourner. Des mises à jour de sécurité sont disponibles pour corriger les problèmes.

La déclaration ne mentionne pas d'identifiants CVE, de cotes de gravité ni de plages de versions touchées. Ces détails figurent dans une alerte distincte que le Centre dit avoir publiée, laquelle contient des renseignements techniques et des mesures recommandées pour que les organisations canadiennes évaluent leur exposition. La déclaration complète est disponible sur le site Web du Centre canadien pour la cybersécurité. Le Centre indique également qu'il communique des conseils, des orientations et des renseignements sur les menaces à ses partenaires pour appuyer leur réponse.

Le périmètre des organisations touchées est large par nature. PHP alimente des systèmes de gestion de contenu, des vitrines de commerce électronique, des portails clients, des outils intranet et une longue liste d'applications internes que personne n'a touchées depuis le départ de la personne qui les a développées. Le Centre souligne que PHP est également intégré dans d'autres produits, ce qui signifie qu'un parc d'appareils et de logiciels empaquetés peut contenir un interpréteur vulnérable qui n'apparaît jamais dans un inventaire de serveurs sous l'étiquette « PHP ».

Le Centre canadien pour la cybersécurité prévient que certains sites Web pourraient être temporairement indisponibles par mesure de précaution pendant l'application des correctifs. En termes simples : si un service canadien dont vous dépendez disparaît quelques heures dans les prochains jours, il y a de bonnes chances qu'il soit en cours de correction, et non compromis. C'est le scénario souhaitable.

La demande centrale de la déclaration est brève et sans ambiguïté. Le Centre presse toutes les organisations de recenser rapidement les systèmes exécutant PHP dans leur infrastructure, de prioriser les systèmes exposés à Internet et d'appliquer les mises à jour de sécurité disponibles. Il invite également les organisations à vérifier les mises à jour auprès de leurs fournisseurs de logiciels, puisqu'une version corrigée de PHP ne règle rien pour un produit de fournisseur qui embarque sa propre copie et nécessite son propre correctif.

Pour la communauté IAM, l'expression « sans authentification » est celle sur laquelle il faut s'arrêter. Les contrôles d'identité constituent la porte d'entrée. Une vulnérabilité d'exécution de commandes à distance en pré-authentification équivaut à quelqu'un qui entre en passant à travers le mur. Un MFA robuste, l'accès conditionnel et des politiques de session strictes demeurent tous pertinents, mais aucun d'eux n'a voix au chapitre quand la requête n'atteint jamais le gestionnaire de connexion. Ce qui aide, c'est la partie fastidieuse : savoir où se trouve PHP, le corriger, et s'assurer que les comptes de service et les secrets hébergés sur ces serveurs ne peuvent pas servir de pont vers le fournisseur d'identité, l'annuaire ou le plan de contrôle infonuagique.

Le Centre canadien pour la cybersécurité présente l'application de correctifs comme un élément du maintien d'une défense en profondeur face à l'évolution des menaces, ce qui est la formulation réglementaire pour « ce n'est pas la première fois et ce ne sera pas la dernière ». Les organisations qui disposent déjà d'un inventaire logiciel précis et d'un processus de changement d'urgence éprouvé trouveront les prochains jours chargés, mais gérables. Celles qui n'en ont pas les trouveront instructifs.

Alors, que devrait concrètement faire une équipe chargée des identités ou de la sécurité aujourd'hui? Premièrement, dresser un inventaire de chaque hôte exécutant PHP, y compris les appareils de fournisseurs et tout ce qui dispose d'une console d'administration Web, et corriger les systèmes exposés à Internet avant la fin de la journée. Deuxièmement, vérifier ce à quoi ces couches Web peuvent accéder : faire pivoter les justificatifs de bases de données, les clés d'API, les comptes de liaison LDAP et les clés d'accès infonuagique stockés dans des fichiers de configuration sur les serveurs PHP, et confirmer que ces identités sont limitées au strict minimum nécessaire. Troisièmement, augmenter la rétention des journaux des serveurs Web et des applications sur les hôtes touchés et rechercher les lancements de processus inattendus ou les connexions sortantes inhabituelles provenant de la couche Web. Si ces trois étapes sont déjà accomplies, félicitations : vous êtes l'organisation que tout le monde cherchera à imiter la semaine prochaine.