Faille PHP : fausse alerte pour les abonnés Freebox, une extension a trompé les détecteurs

Alors que l’équipe de PHP doit publier ce 21 octobre 2026 un correctif d’urgence pour deux failles critiques, un recensement mondial place la France très loin devant tous les autres pays. La raison : près de 2 millions de Freebox hébergeraient plusieurs instances PHP. Rien ne prouve encore que les box de Free sont vulnérables, mais le risque existe.

Dans les prochaines heures, la France pourrait s’exposer à une faille de sécurité d’un niveau inédit. Sur les 11 millions de services PHP actifs dans le monde recensés par la société Infrawatch ce 21 octobre 2026, 6,62 millions seraient en France. Des chiffres encore très flous, mais qui pointent un coupable : Free et ses Freebox. Freebox OS, le système d’exploitation des Freebox, utiliserait la technologie victime de deux failles de sécurité majeures.

PHP est un langage de programmation qui fonctionne sur les serveurs. Quand vous ouvrez une page web, le serveur exécute le code PHP, fabrique la page à la volée puis envoie le résultat à votre navigateur. Il fait notamment tourner WordPress, utilisé par des millions de sites. Problème : le 20 octobre, l’équipe de PHP a annoncé que deux failles notées 9,2 sur 10 avait été repérées.

Elle publiera un correctif mercredi à 16 heures, ce qui devrait forcer de nombreux développeurs à patcher des failles en urgence. Les rumeurs suggèrent qu’il s’agit de failles d’exécution de code à distance : un attaquant pourrait faire tourner son propre programme sur les machines concernées. De quoi imaginer une opération commando pour tout corriger dans les plus brefs délais !

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.

PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Twitter.
Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par Twitter avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus)

En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .

Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.

Pourquoi les Freebox font parler d’elles dans le monde entier (et pourquoi ça ne veut rien dire pour l’instant)

Si vous êtes abonnés chez Free, vous connaissez sans doute Freebox OS. Il s’agit du nom donné à l’interface de gestion des routeurs, qui donne beaucoup plus d’options que l’interface des concurrents. On y accède depuis un navigateur à l’adresse mafreebox.freebox.fr pour régler le Wi-Fi, ouvrir des ports, gérer le contrôle parental, créer une machine virtuelle ou choisir un VPN. Free permet aussi d’activer un accès à distance, pour administrer sa Freebox depuis l’extérieur de chez soi sur un port personnalisé.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Freebox OS fait le tour du monde depuis mercredi sur les réseaux sociaux. Dans un tweet publié dans la nuit, Lloyd Davies d’Infrawatch indique avoir observé 4,3 millions d’hôtes utilisant PHP en 48 heures, avec une exposition maximale « étonnamment en France ». 1,97 million d’hôtes « tournant principalement sous Freebox OS » ont été repérés par ces services. Autrement dit, Freebox OS serait le service qui utilise le plus de PHP dans le monde.

We've observed 4.3M hosts within the last 48 hours using PHP, with the largest exposure surprisingly being France – with 1.97M hosts running primarily Freebox OS! pic.twitter.com/fqkJ3SH4Rc

— Lloyd Davies (@LloydLabs) October 21, 2026

Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Twitter.
Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par Twitter avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus)

En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .

Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.

Au total, il y aurait 6,37 millions de services PHP sur le réseau de Free… avec moins de 2 millions de box. Le site suggère que 94,1 % des Freebox détectées exposent plusieurs instances, soit environ trois par box. Ces services passent rarement par les ports web classiques : les ports 80 et 443 ne représentent que 20 % du total mondial, contre 72,9 % pour les autres. Une hypothèse que l’on peut imaginer est que l’accès à distance de Freebox OS, qui fonctionne sur un port personnalisé. est à l’origine de toutes ces instances. Les autres opérateurs d’Iliad (la maison-mère de Free), comme Iliad Italia, sont aussi exposés.

Même si Internet panique (et aime bien se moquer de la France), rien ne confirme à ce stade que Freebox OS fasse réellement tourner PHP sous une forme vulnérable. Il est encore trop tôt pour affirmer que 6,37 millions d’instances PHP sur le réseau de Free sont concernées par des failles.

Que risquent les abonnés de Free si les failles sont publiées ?

Pour l’instant, les failles ne sont pas détaillées. Le risque commencera après la publication des détails techniques, des attaquants pourraient alors scanner Internet à la recherche de serveurs non corrigés. Selon watchTowr, toutes les versions de PHP depuis PHP 5 seraient concernées, mais l’information n’a pas été confirmée.

Si une Freebox s’avère vulnérable, plusieurs détails pourraient être exposés. La box gère le Wi-Fi, connaît tous les appareils connectés de la maison et, sur certains modèles comme la Freebox Ultra, stocke des fichiers. Un pirate qui en prendrait le contrôle pourrait, en théorie, observer le trafic, rebondir vers d’autres appareils ou utiliser la box à des fins malveillantes. Il y aussi un risque de phishing : des escrocs pourraient jouer sur la peur pour obtenir des informations essentielles par mail ou SMS.

En revanche, les données bancaires ne devraient pas être exposées. L’activité réseau peut être espionné, mais les données confidentielles ne sont pas stockées dessus.

Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par YouTube.
Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par YouTube avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus)

En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .

Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.

Par précaution, les abonnés qui n’utilisent pas l’accès à distance peuvent le désactiver dans Freebox OS (Paramètres de la Freebox, « Mode avancé », puis « Gestion des accès »). Il est encore impossible d’affirmer que Free est concerné par la faille.

Free n’a pas encore répondu, mais peut déployer une mise à jour en urgence

Numerama a contacté Free, mais n’a pas encore obtenu de réponse. Notons tout de même que l’opérateur a un avantage en cas de faille avérée : Freebox OS se met à jour à chaque redémarrage de la box. L’opérateur peut donc techniquement pousser un correctif sur tout son parc en forçant des redémarrages à distance. Il l’a déjà fait par le passé, en 2014 notamment.

La prochaine échéance est fixée à 16h. L’équipe de PHP publiera alors les versions touchées, les versions corrigées et la nature exacte des deux failles. Ces informations permettront de savoir si une Freebox peut, en théorie, être concernée. La réponse de Free sera alors très scrutée.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !

Toutes les infos sur la Freebox Ultra

• Nouveau décodeur Freebox : Free donne enfin de ses nouvelles
• Free supprime les machines virtuelles des Freebox : la pénurie de RAM serait en cause
• Vous avez une Freebox ? Cette application Mac règle vos problèmes de connexion
• Comment profiter de la chaîne Canal+ gratuitement avec Free ?
• Il y a du changement chez Free : l’opérateur va fusionner plusieurs applications