Une faille qui permet de prendre le contrôle d’un serveur sans mot de passe, et un ministre qui appelle à agir vite. Le ministère de l’Économie numérique a lancé le 22 octobre 2026 une alerte sur deux vulnérabilités critiques de PHP, le langage qui fait tourner une grande partie des sites web et des plateformes numériques, dont celles de l’administration.
Les deux failles portent les références CVE-2026-109618 et CVE-2026-109619. Dans un communiqué, le cabinet du ministre indique qu’elles ont été signalées au niveau international et qu’elles présentent des risques importants pour la sécurité des serveurs et des données qu’ils hébergent.
Le projet PHP a publié le 21 octobre des mises à jour de sécurité pour corriger ces deux failles, qui permettent d’exécuter du code à distance. Elles sont notées 9,2 sur 10 par l’équipe de sécurité de PHP. Les correctifs figurent dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L’équipe de PHP exhorte tous les utilisateurs à mettre à jour immédiatement.
La gravité tient à la nature du problème. Les failles permettent à un attaquant d’exécuter du code à distance sur un serveur web sans s’authentifier. Toute installation PHP qui répond à des requêtes web est concernée, quel que soit le serveur utilisé. PHP précise qu’aucune parade complète n’existe : seule la mise à jour protège.
L’affaire a pris de l’ampleur avant même la publication des correctifs. Les détails des deux failles ont fuité le 20 octobre, avant leur divulgation coordonnée et avant la sortie des correctifs. Le centre national de cybersécurité britannique recommande de mettre hors ligne tout système qui ne peut pas être corrigé immédiatement.
À Kinshasa, le ministère assure que des mesures de prévention et de sécurisation sont engagées, notamment la mise à jour des versions de PHP et l’application des correctifs disponibles sur les serveurs concernés. Il demande aux administrations publiques, aux opérateurs de plateformes numériques et aux prestataires techniques de faire trois choses : vérifier les versions de PHP utilisées sur leurs infrastructures, appliquer sans délai les mises à jour et correctifs de sécurité officiels, et renforcer la surveillance de leurs serveurs en signalant toute activité suspecte aux services compétents.
Le communiqué ne précise ni les plateformes publiques concernées, ni si des sites ont déjà été compromis. Il ne dit rien non plus des serveurs qui utiliseraient d’anciennes versions de PHP. Pour les versions 8.1 et antérieures, qui ne sont plus maintenues, il n’existe pas de correctif standard. Le ministère réaffirme enfin son engagement à renforcer la sécurité, la résilience et la continuité des services numériques en RDC.
