La CERC salue la réactivité des organisations face aux vulnérabilités critiques de PHP : aucun incident confirmé à ce jour (30.10.2026)

À la suite des recommandations émises à l’attention des organisations utilisant PHP, la Cellule d’évaluation du risque cyber (CERC), réunie le 28 octobre 2026, dresse un bilan encourageant de la situation. Depuis la divulgation de deux vulnérabilités critiques affectant PHP, les autorités compétentes n’ont constaté à ce jour ni tentative d’exploitation malveillante avérée ni compromission confirmée liée à ces failles.

Lors de sa réunion du 21 octobre, la CERC avait procédé à une évaluation de la menace consécutive à la publication de ces vulnérabilités et formulé plusieurs recommandations destinées aux organisations concernées.

La CERC a notamment recommandé l’application rapide des correctifs de sécurité mis à disposition par les éditeurs. Lorsque leur déploiement immédiat n’était pas envisageable, elle avait préconisé la mise en œuvre de mesures compensatoires appropriées fondées sur une analyse des risques et, si nécessaire, la mise hors service temporaire des systèmes exposés.

Par ailleurs, les exploitants avaient été invités à vérifier l’éventuelle compromission de leurs environnements et à solliciter l’assistance de leur CSIRT de référence en cas de besoin. Ces mêmes recommandations avaient également été relayées par le GOVCERT auprès des entités critiques.

La CERC se félicite de la mobilisation rapide des acteurs concernés et constate que les mesures mises en œuvre, en particulier l’application diligente des correctifs de sécurité, ont permis de réduire significativement les risques associés à ces vulnérabilités. La situation demeure néanmoins sous surveillance et les organisations sont invitées à maintenir un niveau de vigilance élevé ainsi qu’à poursuivre leurs activités de suivi et de mise à jour de sécurité.

Participants de la CERC : HCPN/GOVCERT, ILR, CSSF, CTIE, LHC/CIRCL, Armée luxembourgeoise, CGIE, Restena, SRE