D'Entwéckler vun der wäit verbreeter Programméiersprooch PHP haten e Mëttwoch jo virun zwou kritesche Sécherheetslücke gewarnt, déi et Hacker erméigleche kënnen, ouni Login oder Passwuert e schiedleche Code op engem Webserver auszeféieren.
De Probleem wier relativ grouss. PHP wier nämlech eng vun de meescht genotzte Programméiersproochen, fir Internetsäiten ze maachen. Et gëtt geschat, datt bis zu 70 Prozent vun den Entwéckler dës notzen. Zu Lëtzebuerg sinn et wäit iwwer 5.000 Sitten. Preventiv goufen dowéinst eng ganz Partie Internetsäiten offline geholl, bis de Sécherheetsupdate gemaach ass.
Dat wier och dat eenzegt, wat den Utilisateur géif matkréien. Am schlëmmste Fall hätten awer ganz Sitte kënne vu Kriminellen iwwerholl ginn. Den Update dauert nëmmen e puer Minutten, jee no Site. Well et awer Honnertdausende concernéiert Sitte sinn, kéint et awer daueren, bis d'Gefor ganz aus der Welt geschaaft ass, sou nach den Expert Pascal Steichen.
Wéinst zwou kritesche Sécherheetslücken an der Programméiersprooch PHP recommandéiert d'CERC, déi nei Sécherheetsupdates also esou séier wéi méiglech z'installéieren. De CTIE huet verschidde staatlech Servicer virsiichtshallwer temporär vum Netz geholl.
Hei den Detail:
Réunion de la cellule d’évaluation du risque cyber (CERC) – Recommandations aux organisations utilisant PHP suite à la publication des correctifs de sécurité (21.10.2026)
Communiqué par : Cellule d’évaluation du risque cyber (CERC)
À la suite de la publication, dans l’après-midi du 21 octobre 2026, des correctifs de sécurité relatifs à deux vulnérabilités critiques affectant PHP, la cellule d’évaluation du risque cyber (CERC) s’est réunie une nouvelle fois afin d’évaluer la situation et de coordonner les mesures à prendre.
Dans ce contexte, les " Computer Security Incident Response Teams" (CSIRT) luxembourgeois ont d’ores et déjà pris contact avec les organisations relevant de leurs communautés respectives afin de les informer des risques associés à ces vulnérabilités. Dans leurs communications adressées aux entités concernées, ils ont notamment recommandé l’application rapide des correctifs publiés ainsi que la mise en œuvre de mesures de protection appropriées lorsque l’installation immédiate de ceux-ci n’est pas possible.
La CERC réitère ces recommandations ( https://www.circl.lu/pub/tr-102/) et invite l’ensemble des exploitants de systèmes utilisant PHP à appliquer les correctifs publiés dans les meilleurs délais sur les systèmes concernés.
Lorsque l’application immédiate des correctifs n’est pas possible, les exploitants sont invités à procéder à une analyse des risques tenant compte de leur contexte opérationnel et à mettre en œuvre les mesures compensatoires appropriées. Le cas échéant, une mise hors service temporaire des systèmes exposés devrait également être envisagée afin de réduire le risque d’exploitation.
Les exploitants sont également invités à vérifier si leurs systèmes ont pu faire l’objet d’une compromission et à se rapprocher de leur CSIRT de référence en cas de besoin d’assistance.
L’État a pris sans délai les mesures de précaution nécessaires pour les systèmes étatiques potentiellement concernés. Ainsi, le CTIE a notamment rendu temporairement indisponibles certains services à titre préventif.
Les services compétents poursuivent leurs analyses techniques et assurent un suivi étroit de la situation.
Participants de la CERC : HCPN/GOVCERT, ILR, CSSF, CTIE, LHC/CIRCL, Armée luxembourgeoise, CGIE, Restena
