Le Bangladesh lance une alerte urgente de piratage informatique concernant des failles critiques de PHP

⚠ L'équipe nationale de réponse à la cybersécurité du Bangladesh a mis en garde contre un risque élevé de piratage et a conseillé aux agences gouvernementales, aux institutions financières, aux opérateurs de télécommunications et à d'autres organisations d'identifier les systèmes vulnérables et d'appliquer immédiatement les mises à jour de sécurité. L'alerte place l'infrastructure numérique du pays en état d'urgence au moment même où les gouvernements et les entreprises du monde entier se précipitent pour contenir l'une des vulnérabilités de logiciels web les plus sérieuses révélées ces dernières années.

🗝 Deux failles critiques dans PHP — le langage de programmation utilisé pour faire fonctionner une grande partie des sites web du monde — pourraient permettre aux pirates d'exécuter du code malveillant sur les serveurs web sans se connecter, a déclaré l'équipe de réponse aux incidents informatiques du gouvernement du Bangladesh (BGD e-GOV CIRT), qui opère sous l'égide du Conseil informatique du Bangladesh de la Division des TIC, dans un avis. Les deux vulnérabilités, collectivement appelées PHP2Shell, sont suivies sous les références CVE-2026-109618 et CVE-2026-109619.

🌏 L'avertissement intervient alors que les entreprises et les gouvernements du monde entier se sont précipités jeudi pour corriger les failles critiques du logiciel qui sous-tend une grande partie de l'internet, après qu'une société de sécurité cloud ait signalé des millions de tentatives de piratage suite à la révélation publique des vulnérabilités, selon Reuters. Les gouvernements en Europe et ailleurs avaient mis hors ligne des sites web par précaution mercredi, tandis que les exploitants de sites web se précipitaient pour sécuriser les systèmes exécutant le logiciel.

🚨 Les arrêts d'urgence des services bancaires, aériens, ferroviaires, fiscaux et gouvernementaux de Tokyo à Helsinki marquent l'un des tests les plus dramatiques des outils de programmation vieux de plusieurs décennies qui maintiennent le Web en fonctionnement, révélant à quel point les gouvernements et les entreprises dépendent profondément d'un code que peu de gens comprennent. Cloudflare, une société qui aide à protéger les sites Web contre les cyberattaques, a signalé des millions de tentatives d'exploitation des vulnérabilités après leur divulgation — une mesure de la rapidité avec laquelle les attaquants opportunistes agissent une fois qu'une faille devient publique.

🏦 La Banque du Bangladesh met son site Web hors ligne

📱 Par mesure de précaution, la Banque du Bangladesh (BB), la banque centrale du pays, a mis hors ligne son site Web depuis midi suite à l'alerte mondiale de cybersécurité, a déclaré son porte-parole Arief Hossain Khan au Daily Star. Le département informatique de la banque centrale travaillait sur le problème, a déclaré le porte-parole, tout en refusant d'indiquer quand le site serait rétabli — une démarche inhabituelle pour l'institution au cœur du système financier du pays, et qui souligne la gravité de la menace.

🔍 L'avis du CIRT indique que les failles pourraient permettre à un attaquant d'exécuter du code sur un serveur Web sans s'authentifier préalablement à l'application — ce qui signifie que tout attaquant qui atteint un serveur vulnérable peut potentiellement en prendre le contrôle directement. L'agence a identifié les portails gouvernementaux, les interfaces de programmation d'applications (API) destinées au public, les systèmes administratifs et les plateformes de commerce électronique comme des exemples d'applications susceptibles d'être affectées.

🧱 Il a exhorté les organisations à inventorier tous les environnements d'exécution PHP et à donner la priorité aux systèmes orientés vers le public pour un patchage immédiat — en termes simples, identifier toutes les installations PHP sur leurs systèmes et appliquer rapidement les mises à jour de sécurité à celles accessibles depuis Internet. PHP fonctionne en arrière-plan des sites web, traitant les requêtes, récupérant des informations de bases de données et fournissant du contenu aux utilisateurs, et il sous-tend de nombreux services en ligne, y compris les sites web construits sur des plates-formes populaires telles que WordPress et Drupal.

🛡 Pourquoi cela est important pour l'économie numérique du Bangladesh

💰 Les enjeux sont particulièrement élevés pour le Bangladesh, où les plates-formes basées sur PHP alimentent une grande partie des portails gouvernementaux, des sites bancaires, des boutiques de commerce électronique et des sites d'information. Une exploitation réussie non authentifiée pourrait exposer les données des citoyens stockées dans les bases de données gouvernementales, perturber les services bancaires en ligne ou défigurer les plates-formes orientées vers le public — des dommages réputationnels et opérationnels qui seraient particulièrement douloureux pour un secteur financier qui tente toujours de rétablir la confiance après de précédents incidents cybernétiques de haut profil.

💻 Pour l'économie numérique en pleine croissance du pays — des services financiers mobiles aux secteurs du freelancing et de l'exportation de services informatiques — cet épisode est un test de stress de l'hygiène cybernétique de base. Les professionnels de la sécurité affirment depuis longtemps que la discipline en matière de patchs, les inventaires d'actifs et les défenses multicouches comptent plus que n'importe quel produit unique, et l'épisode PHP2Shell le prouve : les organisations qui savaient exactement quelles versions de logiciels fonctionnaient sur quels systèmes sont celles qui ont pu agir en quelques heures.

🚀 La rapidité de la réponse mondiale — sites web volontairement mis hors ligne, correctifs déployés en moins de 24 heures, tentatives d’exploitation suivies en temps réel par des entreprises spécialisées en cybersécurité — illustre à quel point la posture de sécurité d’Internet s’est améliorée depuis l’ère des vers informatiques lents. Mais elle révèle aussi à quel point les fondations restent fragiles : une seule faille dans un langage que la majorité des utilisateurs d’Internet ne connaissent même pas a suffi à provoquer des fermetures préventives de réservations ferroviaires et de portails fiscaux sur deux continents.

🔍 Pour les organisations du Bangladesh, la tâche immédiate est claire : finaliser l’inventaire des versions de PHP, appliquer les correctifs fournis par les éditeurs, vérifier la restauration des services mis hors ligne et signaler les incidents au BGD e-GOV CIRT. La mission à plus long terme est plus complexe : renforcer les capacités institutionnelles, depuis les centres d’opérations de sécurité jusqu’aux scans de vulnérabilités réguliers et aux programmes de récompenses pour bogues (*bug-bounty*), afin de transformer chaque alerte mondiale en une maintenance de routine. Les institutions qui investissent dès maintenant dans ces infrastructures trouveront la prochaine alerte bien moins coûteuse que celle-ci.