Infrawatch a rectifié ce 21 octobre son rapport sur les services PHP visibles sur Internet : les interfaces Freebox et iliadbox en sont désormais exclues. Le classement initial ne démontre donc pas une vulnérabilité massive des box de Free.
Les Freebox retirées du recensement
Dans son rapport corrigé, l’entreprise explique que Freebox OS signale à tort qu’il utilise PHP. Il s’agit de l’interface de gestion des Freebox, accessible depuis un navigateur. Cette identification erronée a faussé le relevé.
Le nouveau décompte recense 5,48 millions de services présentant des indices de PHP. Les États-Unis arrivent en tête avec environ 1,34 million de services. La France en compte 245 333, derrière l’Allemagne, la Chine et le Japon.
Un service détecté n’est pas une faille démontrée
Le problème tient à la différence entre repérer une technologie depuis Internet et vérifier ce qu’exécute réellement un appareil. Un outil de recensement s’appuie sur des indices visibles de l’extérieur et ne réalise pas pour autant un audit complet du logiciel installé.
L’alerte reste réelle pour les serveurs utilisant PHP
Cette erreur de recensement ne remet pas en cause la gravité des failles annoncées par l’équipe PHP. Ce langage sert à faire fonctionner des sites et des applications sur leurs serveurs, notamment WordPress. Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, peuvent permettre à un attaquant d’exécuter du code à distance sans disposer d’un compte sur les installations vulnérables.
Les correctifs ont été publiés ce 21 octobre dans les versions PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Dans son avis de sécurité, le projet PHP demande une mise à jour immédiate et souligne qu’aucune simple modification de configuration ne remplace complètement le correctif.
Pour un abonné Free, le classement initial ne justifie donc pas de rechercher un correctif PHP pour sa box. Pour les administrateurs de sites et les hébergeurs qui utilisent réellement PHP, en revanche, la mise à jour du serveur reste nécessaire. Mettre uniquement à jour WordPress ou un autre logiciel de site web ne remplace pas celle du moteur PHP qui l’exécute.
