Le projet PHP a publié le 21 octobre 2026 des correctifs d’urgence pour PHP2Shell, deux failles qui permettent d’exécuter du code à distance, sans authentification, sur des serveurs qui propulsent la majorité des sites web. Sur le plan juridique, le risque ne pèse guère sur ceux qui ont écrit le code fautif : depuis la publication du correctif, il pèse sur chaque entreprise qui ne l’a pas encore installé.
Ce qui a été publié le 21 octobre
Les deux failles, CVE-2026-109618 et CVE-2026-109619, sont cotées 9,2 sur 10 selon l’équipe de sécurité de PHP. Elles touchent les branches encore soutenues, corrigées par les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le risque est jugé le plus élevé pour le module mod_php d’Apache, où une requête anonyme peut déclencher l’attaque avant même que le code du site ne s’exécute. Les mesures d’atténuation proposées réduisent certaines voies d’attaque, mais, de l’aveu même du projet, aucune ne rend une installation sûre : seule la mise à jour règle le problème.
Les failles ont été découvertes en août par des chercheurs de la firme Wiz, qui disent s’être appuyés sur des modèles d’IA de Google et d’OpenAI, et signalées à PHP le 24 août. La divulgation coordonnée prévue a été bousculée : après une fuite publiée le 20 octobre sur un forum, le projet a avancé la sortie des correctifs d’un jour. Cloudflare dit avoir observé des tentatives d’attaque dès avant le correctif, et la firme watchTowr rapporte des tentatives d’exploitation. Aucune intrusion réussie n’avait été confirmée publiquement en date du 21 octobre.
Le chiffre de 70 % qui circule appelle une précision. Selon W3Techs, PHP est utilisé par 69,3 % des sites dont le langage serveur est connu, en date du 21 octobre. Cette proportion mesure l’usage de PHP, et non le nombre de sites effectivement vulnérables, qui dépend de la version et de la configuration de chacun.
La Fondation PHP, une cible juridique fuyante
La Fondation PHP est un organisme sans but lucratif créé en 2021 par une dizaine d’entreprises, dont JetBrains et Automattic, pour rémunérer les développeurs du langage. Elle n’est pas pour autant propriétaire de PHP. Les droits d’auteur appartiennent à The PHP Group, et la licence historique du logiciel le fournit tel quel, sans aucune garantie.
Au Québec, une telle exclusion a ses limites. L’article 1474 du Code civil prévoit qu’une personne « ne peut exclure ou limiter sa responsabilité » pour le préjudice matériel causé par une faute intentionnelle ou lourde, ni pour un préjudice corporel ou moral. Encore faudrait-il démontrer une faute lourde chez des développeurs, en partie bénévoles, qui ont corrigé les failles moins de deux mois après le signalement, puis établir un lien de causalité avec un dommage précis. Aucune poursuite contre le projet PHP n’avait été recensée au moment d’écrire ces lignes.
L’Europe a commencé à saisir cette zone grise. Depuis le 11 septembre 2026, le règlement européen sur la cyberrésilience oblige les fabricants de produits numériques à signaler dans les 24 heures toute vulnérabilité activement exploitée. Les organismes qui soutiennent durablement un logiciel libre sans en être le fabricant relèvent d’un régime allégé : politique de cybersécurité, coopération avec les autorités et signalement dans la mesure où ils participent au développement, selon la synthèse de l’OpenSSF. Rien de comparable n’existe au Canada.
Pour l’entreprise, l’horloge part avec le correctif
Le véritable fardeau juridique repose sur l’exploitant du site. L’article 10 de la Loi sur la protection des renseignements personnels dans le secteur privé exige des mesures de sécurité « raisonnables compte tenu, notamment, de leur sensibilité ». Depuis le 22 septembre 2023, l’omission de prendre ces mesures peut entraîner une sanction administrative pécuniaire allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial. Une faille publique, cotée critique, corrigée et déjà ciblée, rend difficile à soutenir l’argument d’un risque imprévisible.
Le problème se corse pour les sites qui tournent sur des versions abandonnées. Selon W3Techs, 27,0 % des sites PHP fonctionnent encore sous la version 7 et 7,8 % sous des versions plus anciennes, des branches que le projet ne met plus à jour, tout comme PHP 8.0 et 8.1. L’équipe de sécurité a publié des rétroportages de code source pour les versions 7.4, 8.0 et 8.1, mais ils supposent de recompiler soi-même le logiciel ou d’attendre son fournisseur.
Si l’intrusion survient, l’article 3.5 de la même loi prend le relais. Dès qu’elle a des motifs de croire à un incident de confidentialité, l’entreprise doit prendre des mesures raisonnables pour diminuer le risque de préjudice, inscrire l’incident à son registre et, si le risque est sérieux, aviser la Commission d’accès à l’information et les personnes concernées. L’hébergeur ou l’agence web qui gère le serveur ne décharge pas son client : l’article 18.3 exige un contrat écrit qui précise les mesures de protection attendues du prestataire.
| Acteur | Régime applicable | Risque juridique |
|---|---|---|
| Projet et Fondation PHP | Licence sans garantie ; article 1474 du Code civil ; régime européen allégé pour les organismes de soutien au logiciel libre | Faible au Québec, sauf faute lourde prouvée |
| Entreprise exploitant un site | Articles 10, 3.5 et 90.1 de la loi sur le secteur privé | Sanction jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial |
| Hébergeur ou agence web | Article 18.3 et contrat de service | Recours contractuel du client |
| Usager dont les données fuient | Avis obligatoire si risque de préjudice sérieux ; article 93.1 | Dommages-intérêts punitifs d’au moins 1 000 $ en cas de faute intentionnelle ou lourde |
Les usagers, derniers informés
Pour l’internaute, la protection passe d’abord par l’avis. Il ne sera informé que si l’entreprise conclut à un risque de préjudice sérieux, une évaluation qu’elle mène elle-même. Les tribunaux québécois exigent en outre un préjudice réel : dans Lamoureux c. OCRCVM, 2022 QCCA 685, la Cour d’appel a confirmé le rejet d’une action collective où la crainte et les tracas des membres avaient été assimilés aux inconvénients normaux de la vie en société. L’article 93.1 de la loi prévoit toutefois des dommages-intérêts punitifs d’au moins 1 000 $ lorsque l’atteinte, intentionnelle ou causée par une faute lourde, cause un préjudice.
Le précédent de Log4j
Le réflexe de fermeture n’est pas nouveau. En décembre 2021, la faille Log4j avait poussé le gouvernement du Québec à retirer préventivement près de 4 000 sites, selon CBC. Mercredi, selon La Presse, des centres de services scolaires ont interrompu certains services web, par prudence. Quatre ans plus tard, la faille PHP2Shell ne change pas la nature de la question juridique, mais son rythme : quand des agents d’IA trouvent les failles et que leurs détails fuient avant le correctif, le délai qu’un tribunal jugera raisonnable pour appliquer une mise à jour pourrait se compter en heures plutôt qu’en semaines.
Note sur ce contenu. Cet article a été rédigé par un(e) journaliste IA du Juridhic. Il reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.
Références
- The PHP Group. (2026, 21 octobre). PHP security releases 8.5.12, 8.4.27, 8.3.36 and 8.2.35 [annonces et avis de sécurité]. PHP.net. https://www.php.net/
- Wiz Research. (2026, 21 octobre). PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet. https://www.wiz.io/blog/php2shell-php-rce
- The Hacker News. (2026, 21 octobre). PHP issues emergency patches for two critical PHP2Shell RCE flaws as exploit attempts emerge. https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
- BleepingComputer. (2026, 21 octobre). PHP ships emergency patches for critical PHP2Shell flaws. https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/
- watchTowr. (2026, 21 octobre). CVE-2026-109619: PHP remote code execution exploited. https://watchtowr.com/intelligence/php-remote-code-execution-php2shell/
- W3Techs. (2026, 21 octobre). Usage statistics of PHP for websites. https://w3techs.com/technologies/details/pl-php
- The PHP Group. (s. d.). The PHP License, version 3.01. https://www.php.net/license/3_01.txt
- The Register. (2021, 23 novembre). PHP Foundation formed to fund development of the language. https://www.theregister.com/2021/11/23/php_foundation_formed_to_fund/
- Code civil du Québec, RLRQ, c. CCQ-1991, art. 1474. Légis Québec. https://www.legisquebec.gouv.qc.ca/fr/version/lc/CCQ-1991?code=se:1474
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 3.5, 10, 18.3, 90.1, 90.12 et 93.1. Légis Québec. https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
- OpenSSF. (s. d.). CRA stewards one-pager. https://policy.openssf.org/CRA/stewards-one-pager.html
- ECIJA. (2026). Cyber Resilience Act: obligations to report vulnerabilities and incidents from September 2026. https://www.ecija.com/en/news-and-insights/cyber-resilience-act-obligations-to-report-vulnerabilities-and-incidents-from-september-2026/
- Clyde & Co. (2022, juin). The Court of Appeal of Quebec upholds dismissal of class action on the merits for loss of personal information [Lamoureux c. OCRCVM, 2022 QCCA 685]. https://www.clydeco.com/en/insights/2022/06/quebec-court-of-appeal-upholds-dismissal
- CBC News. (2021, 12 décembre). Facing cybersecurity threats, Quebec shuts down government websites for evaluation. https://www.cbc.ca/lite/story/1.6283133
