Le Nigeria Computer Emergency Response Team (ngCERT), organisme gouvernemental officiel de cybersécurité du pays, a accueilli la plus grande crise des serveurs web depuis Log4Shell — la faille de 2021 dans la bibliothèque de journalisation Java omniprésente Log4j qui avait forcé des correctifs d'urgence sur tout Internet — par un simple post « Patch Now! » sur X. Le 21 octobre 2026, alors que des équipes d'urgence de Washington à Tokyo ordonnaient la mise hors ligne des systèmes publics vulnérables, l'avis de l'agence tranchait fortement avec l'ampleur d'une faille menaçant environ 70 % des sites web mondiaux.

Le post, publié à l'adresse https://x.com/ngCERTofficial/status/2112987792917840001?s=20, indique : « PHP2SHELL ALERT! Two critical RCE flaws (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) affect every web server running PHP 5.4+. Both vulnerabilities are exploitable on the default PHP configuration & do not require authentication to trigger. Patch Now! »

Au-delà de l'appel au correctif, l'avis n'offrait ni bulletin technique, ni instructions de remédiation, ni application de la conformité dans les ministères, départements et agences (MDA) — une réponse que des critiques qualifient de mise en conformité symbolique plutôt que de véritable gouvernance de la cybersécurité.

Les vulnérabilités au cœur de la tempête sont deux failles critiques d'exécution de code à distance dans le cœur du runtime PHP, référencées CVE-2026-109618 et CVE-2026-109619 et surnommées « PHP2Shell ». Toutes deux affichent une note de gravité de 9,2 sur CVSS v4.0 et affectent chaque version de PHP de la 5.4, publiée en 2012, à la 8.5.11. Comme les défauts résident dans les routines de nettoyage mémoire et de gestion des erreurs de PHP, un attaquant non authentifié peut détourner un serveur exposé sur Internet avec une configuration par défaut, avant même que le code applicatif du site ou ses plugins de sécurité ne se chargent. Cette position dans le runtime partagé est ce qui distingue PHP2Shell des failles ordinaires de plugins ou de thèmes : chaque site hébergé par un serveur vulnérable hérite de l'exposition, quel que soit le soin apporté à l'écriture de son propre code applicatif.

PHP2Shell n'est pas survenu dans un vacuum. Il a clôturé un octobre implacable de violations mondiales qui a montré à quelle vitesse les logiciels tiers et les infrastructures historiques peuvent se retourner contre leurs propriétaires. Plus tôt dans le mois, les chercheurs deiz et Calif ont démontré que des modèles d'IA de pointe pouvaient compresser des mois d'ingénierie inverse manuelle, transformant en armes des bugs mémoire PHP vieux de dix ans contre des configurations standards de WordPress, Drupal et Joomla. Lorsque l'embargo de divulgation a fuité en avance le 20 octobre, des acteurs malveillants ont immédiatement commencé à scanner des millions de serveurs dans le monde, forçant la PHP Foundation à publier en hâte des correctifs d'urgence le 21 octobre, tandis que le Premier ministre du Japon appelait publiquement les organisations à mettre à jour ou à déconnecter leurs sites. Il est ensuite apparu que l'exploitation avait commencé dès le 17 octobre, quelques jours avant la fuite.

Cette précipitation s'est ajoutée à trois autres ondes de choc mondiales en octobre 2026. Au Japon, une attaque par ransomware contre le fournisseur cloud IDC Frontier a paralysé 495 entreprises et collectivités locales, exposant 6,09 millions de dossiers clients rien que chez l'opérateur ferroviaire JR East. Parallèlement, les chercheurs en menaces de Huntress ont découvert une compromission de chaîne d'approvisionnement impliquant les identités SkyKick Cloud Backup de ConnectWise, permettant aux attaquants de contourner l'authentification multifacteur des employés et de s'infiltrer dans 162 environnements d'entreprise Microsoft 365. En France, des attaquants ont détourné la technologie opérationnelle contrôlant les systèmes de réfrigération de centaines de supermarchés les 11 et 12 octobre, faisant grimper les températures à 50 °C et contraignant les distributeurs à jeter des tonnes d'aliments avariés.

La vitesse des divulgations de PHP2Shell a également forcé des arrêts d'urgence généralisés dans les transports et secteurs publics mondiaux, entraînant des suspensions critiques couvrant l'aviation, la banque et les réseaux ferroviaires de Tokyo à Helsinki. Au Royaume-Uni, le National Cyber Security Centre (NCSC) a émis des alertes urgentes à mesure que la crise se déployait, et les autorités ont pris des mesures proactives qui ont temporairement mis hors ligne 32 services gouvernementaux et partiellement restreint quatre autres, le temps d'appliquer correctifs d'urgence et atténuations.

Plus près de chez nous, les laboratoires sud-africains Ampath Laboratories ont été frappés par le groupe de ransomwares BytetoBreach, qui a revendiqué l'exfiltration de 80 millions de dossiers de patients.

Face à ce contexte mondial, le contraste entre la posture du Nigeria et celle de ses voisins régionaux est frappant. Selon la National Information Technology Development Agency (NITDA), le Nigeria perd déjà au moins 500 millions de dollars par an à cause de la cybercriminalité, et des portails d'État, dont ceux de la Corporate Affairs Commission et de la Commission électorale nationale indépendante (INEC), ont fait l'objet d'allégations publiques répétées de violations de données. Pourtant, le ngCERT a traité une menace active et non authentifiée de prise de contrôle de serveurs comme un simple communiqué de relations publiques. Un post sur les réseaux sociaux n'a aucune valeur juridique : il ne fixe aucun délai pour les directeurs informatiques fédéraux ou étatiques, ne fournit aucune règle de configuration compensatoire pour les serveurs anciens et n'exige aucune responsabilité de la part des hébergeurs web locaux qui font tourner des milliers de PME nigérianes.

Le Kenya a agi différemment. Le 21 octobre, le département d'État chargé des TIC et de l'économie numérique, en collaboration avec l'Autorité TIC, a émis une directive formelle et contraignante à l'ensemble des organismes gouvernementaux. Nairobi ne s'est pas contenté de demander aux agences d'appliquer les correctifs : il a ordonné aux MDA d'auditer les applications cloud tierces et hébergées, de restreindre l'accès externe ou de fermer immédiatement les portails non corrigeables, et de documenter chaque action corrective pour inspection par l'Autorité TIC.

Le Ghana a égale cette rigueur avec un calendrier de conformité strict. Le 22 octobre, la Cyber Security Authority (CSA) et la National Information Technology Agency (NITA) ont conjointement demandé à toutes les institutions publiques d'inventorier leurs déploiements PHP, d'iquer les mises à jour d'urgence et de soumettre des rapports formels de remédiation sous sept jours. L'Afrique du Sud, en revanche, a elle aussi trébuché, en n'émettant aucune directive CERT nationale de premier plan malgré des milliers de serveurs locaux exposés. Le Kenya et le Ghana ont démontré qu'une défense cyber efficace exige des échéances contraignantes et une surveillance des fournisseurs, pas des slogans sur les réseaux sociaux. Les prochains jalons sont simples : le ngCERT fera-t-il suivre son unique post X d'un bulletin technique assorti d'échéances contraignantes, et que révéleront les rapports de remédiation de sept jours du Ghana sur l'exposition PHP dans les institutions publiques ?

Lorsque l'application des réglementations traîne, les équipes d'ingénierie locales et les utilisateurs ordinaires portent le fardeau de leur survie. En s'appuyant sur les recommandations techniques du PHP Group, de Qualys, d'Armis et de Google Cloud, voici ce que les entreprises et les citoyens nigérians doivent faire immédiatement :

Pour les entreprises et les administrateurs système

• Corriger immédiatement les runtimes supportés : Mettre à niveau tous les environnements PHP 8.2+ vers les versions corrigées (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) et redémarrer le service PHP-FPM ou Apache afin que les nouveaux binaires prennent effet en mémoire.
• Combler l'angle mort des versions en fin de vie : Les correctifs officiels ne couvrent pas PHP 8.1, 8.0 ni 7.x, qui sont en fin de vie. Les entreprises bloquées sur des hébergements cPanel historiques doivent soit migrer immédiatement vers PHP 8.2+, soit passer à des backports de distributions Linux durcies et à des images de conteneurs. La seule mise à jour des thèmes ou plugins WordPress ne suffira pas à stopper cet exploit.
• Appliquer des atténuations au niveau de la configuration : Lorsqu'un correctif immédiat est impossible, Qualys et Armis recommandent de désactiver le suiveur de progression d'upload intégré de PHP, ce qui supprime une voie d'exploitation majeure sans casser la fonctionnalité du site, et d'imposer des limites strictes sur la taille des corps de requête et des règles de téléversement sur les pare-feux d'applications web (WAF) tels que Cloudflare ou Google Cloud Armour.
• Auditer les journaux de serveurs et les clés API : L'exploitation ayant commencé dès le 17 octobre, les équipes doivent inspecter les journaux des serveurs web à la recherche de plantages anormaux par manque de mémoire et renouveler les identifiants de base de données et les clés de passerelles de paiement (telles que Paystack, Flutterwave ou Monnify webhooks) stockées sur des serveurs PHP exposés sur Internet.

Pour les particuliers et les utilisateurs ordinaires

Un portail e-commerce ou gouvernemental compromis exécutant un PHP non corrigé permet aux attaquants de capter les mots de passe en clair au fur et à mesure de leur saisie. Ne réutilisez jamais le mot de passe de votre messagerie ou de votre application bancaire sur des sites d'achat locaux, des portails scolaires ou des registres étatiques.

Comme la prise de contrôle de serveurs web permet aux attaquants de modifier silencieusement les pages de paiement, évitez d'enregistrer les données de votre carte de débit principale sur les sites de petits marchands. Utilisez des cartes virtuelles jetables ou des options de virement au paiement avec des plafonds journaliers serrés.

Lorsque des attaquants détournent le serveur web d'une entreprise ou d'un gouvernement légitime, ils acquièrent la capacité d'envoyer des courriels de phishing depuis des noms de domaine authentiques. Vérifiez toute demande de paiement urgente, tout avis fiscal ou toute sollicitation de mise à jour BVN/NIN via un canal indépendant avant de cliquer sur des liens.

À lire également : Le règlement secret du Nigeria avec Meta révèle un régime de protection des données marqué par une double norme flagrante

La cybersécurité à l'ère de l'IA ne laisse aucune place à la bureaucratie passive. T qu'Abuja ne remplacera pas la conformité symbolique par des mandats de conformité audités à travers les infrastructures publiques et privées, les entreprises et les citoyens nigérians devront être leurs propres premiers intervenants.