Réunion de la cellule d'évaluation du risque cyber (CERC) – Recommandations aux organisations utilisant PHP suite à la publication des correctifs de sécurité

À la suite de la publication, dans l'après-midi du 21 octobre 2026, des correctifs de sécurité relatifs à deux vulnérabilités critiques affectant PHP, la cellule d'évaluation du risque cyber (CERC) s'est réunie une nouvelle fois afin d'évaluer la situation et de coordonner les mesures à prendre.

Dans ce contexte, les " Computer Security Incident Response Teams" (CSIRT) luxembourgeois ont d'ores et déjà pris contact avec les organisations relevant de leurs communautés respectives afin de les informer des risques associés à ces vulnérabilités. Dans leurs communications adressées aux entités concernées, ils ont notamment recommandé l'application rapide des correctifs publiés ainsi que la mise en oeuvre de mesures de protection appropriées lorsque l'installation immédiate de ceux-ci n'est pas possible.

La CERC réitère ces recommandations (https://www.circl.lu/pub/tr-102/) et invite l'ensemble des exploitants de systèmes utilisant PHP à appliquer les correctifs publiés dans les meilleurs délais sur les systèmes concernés.

Lorsque l'application immédiate des correctifs n'est pas possible, les exploitants sont invités à procéder à une analyse des risques tenant compte de leur contexte opérationnel et à mettre en oeuvre les mesures compensatoires appropriées. Le cas échéant, une mise hors service temporaire des systèmes exposés devrait également être envisagée afin de réduire le risque d'exploitation.

Les exploitants sont également invités à vérifier si leurs systèmes ont pu faire l'objet d'une compromission et à se rapprocher de leur CSIRT de référence en cas de besoin d'assistance.

L'État a pris sans délai les mesures de précaution nécessaires pour les systèmes étatiques potentiellement concernés. Ainsi, le CTIE a notamment rendu temporairement indisponibles certains services à titre préventif.

Les services compétents poursuivent leurs analyses techniques et assurent un suivi étroit de la situation.

Participants de la CERC: HCPN/GOVCERT, ILR, CSSF, CTIE, LHC/CIRCL, Armée luxembourgeoise, CGIE, Restena

Communiqué par la Cellule d'évaluation du risque cyber (CERC)