PHP, failles de sécurité et communs numériques : qui tient le Web ?
Publié le 27 octobre 2026
Le 21 octobre 2026, PHP a publié en urgence des correctifs pour deux failles critiques permettant d’exécuter du code à distance sur des serveurs, sans authentification. Le langage, qui fait tourner environ 70 % des sites web dont la technologie serveur est connue, a tenu bon. Mais l’épisode rappelle une réalité inconfortable : une part immense du Web mondial repose sur les épaules de quelques dizaines de devs. Le logiciel libre avance encore largement grâce au travail bénévole de ses contributeur·rices. PHP fonctionne comme le logiciel libre des origines : il se construit collectivement, sans propriétaire. Ce modèle ne tiendra que s’il est financé.
Un langage vivant, mais sans propriétaire
PHP suit le modèle d’origine du libre et de l’Open Source : le langage évolue grâce aux personnes qui y contribuent. Aucun géant de la tech ne le pilote et personne n’impose de feuille de route d’en haut. Les évolutions se discutent et se votent publiquement. Des milliers d’entreprises en dépendent. Boutiques en ligne, banques, médias, services publics : selon la PHP Foundation, PHP fait tourner une large part du Web que nous utilisons au quotidien.
Une dépendance critique et fragile
PHP est utilisé par 70,3 % des sites dont le langage serveur est identifiable (W3Techs, août 2026), y compris par des multinationales milliardaires. Pourtant, d’après la PHP Foundation, la sécurité du langage repose encore sur un petit groupe de devs financé·es par la fondation, complété par un peu d’aide bénévole.
Les failles d’octobre le montrent. Le premier signe du problème avait été repéré dès 2024 par un développeur du cœur de PHP, en marge d’un audit financé par la Sovereign Tech Agency allemande, organisé par OSTIF et réalisé par Quarkslab. Faute de bras et de temps, le correctif a calé pendant des mois ; la fondation parle elle-même d’une fragilité structurelle. Il a fallu que plusieurs équipes de recherche démontrent une exécution de code à distance pour mobiliser, cet été, des personnes à plein temps, week-ends compris.
Cette chaîne ne s’arrête pas au langage. Autour de PHP gravitent frameworks, bibliothèques et serveurs d’applications, eux aussi maintenus par des équipes réduites. C’est le cas de FrankenPHP, le serveur d’applications né chez nous et officiellement soutenu par la PHP Foundation depuis juin 2025. Nous savons donc de l’intérieur ce que signifie maintenir une brique dont d’autres dépendent.
Où sont les grands acteurs ?
Les grandes entreprises s’engagent trop peu. Si elles contribuaient à la hauteur des ressources qu’elles prélèvent, la viabilité du Web ne reposerait pas sur une poignée de personnes.
Les outils, IA comprise, trouvent désormais les bugs plus vite que jamais : l’équipe sécurité de PHP a publié 15 CVE depuis juillet. Mais aucun outil ne décide du bon correctif ni ne pèse les compromis de compatibilité. Il faut pour cela des ingénieur·es qui connaissent le cœur du langage, et ils et elles sont trop peu nombreux·ses. La PHP Foundation demande donc directement aux entreprises, hébergeurs, clouds et institutions publiques qui reposent sur PHP de financer à la mesure de leur dépendance.
Notre engagement
Toute structure peut soutenir l’Open Source, quelle que soit sa taille. Chez Les-Tilleuls.coop, coopérative de plus de 80 personnes, nous sponsorisons la PHP Foundation et maintenons des projets libres comme API Platform et FrankenPHP. Concrètement, cela veut dire du temps de développement dédié et des contributions financières à PHP, FrankenPHP et Caddy.
Nous y avons intérêt : notre activité repose sur ces communs, comme celle de nos client·es. Réinvestir dans ce dont on dépend, c’est simplement prendre sa part. Et si une coopérative de notre taille peut le faire, les acteurs bien plus grands le peuvent aussi.
Comment passer à l’action ?
Ces failles ont été corrigées parce que des personnes y ont consacré leurs jours et leurs nuits. La prochaine fois, cela pourrait ne pas être le cas. Si votre activité tourne sur PHP, sponsorisez la PHP Foundation, contribuez aux projets que vous utilisez, ou dégagez du temps pour vos équipes. Les communs numériques ont un coût, et aujourd’hui ce sont surtout leurs mainteneur·ses qui le payent.
C’est l’occasion aussi pour les développeurs et développeuses de monter en compétence, de comprendre les rouages intimes des langages et d’éprouver une vraie fierté à participer activement à l’écosystème. Tout le monde y gagne !
