Organisations
Toute organisation qui fait tourner un PHP non corrigé est exposée. Voici celles qui ont agi de façon visible — surtout des coupures par précaution, pas des intrusions confirmées.
Dernière vérification 2026-10-22
Coupé ne veut pas dire piraté
Aucune des organisations ci-dessous n’a signalé de compromission. Couper un service pour le corriger est une réaction prudente face à un bug critique — et plutôt bon signe. Seules des entrées vérifiées et sourcées figurent ici ; dernière vérification le 2026-10-22.
A coupé app.bamboohr.com et www.bamboohr.com le 21 oct. à 11:51 UTC par précaution (centres de données aux États-Unis, au Canada et en Irlande), en prévenant que la paie serait interrompue. Correctif appliqué à 15:03 UTC ; la validation était toujours en cours à 16:01 UTC. Aucune intrusion signalée.
Source: BambooHR status page
Coupés par précaution le 21 oct. Selon Logius, la connexion via DigiD continuait de fonctionner auprès d’autres organisations. Le NCSC n’a constaté aucun abus. Cela explique pourquoi les Pays-Bas dominent l’intérêt de recherche.
Source: NOS
Règles WAF pour toutes les offres actives depuis 03:02 UTC le 21 oct. ; signale de premières attaques et des charges utiles modifiées.
Source: Cloudflare blog
A publié des images PHP corrigées à 07:41 UTC le 21 oct., avant la publication coordonnée.
Source: PHP Foundation
Pas une victime de PHP2Shell. Un incident distinct dans la même actualité : huit clés privées faibles d’autorités de certification intermédiaires d’eMudhra ont été retrouvées et divulguées le 20 oct. Mozilla a diffusé des révocations OneCRL ; mettez à jour navigateurs, magasins de certificats (p. ex. certifi 2026.10.19) et Go (1.27.3 / 1.26.10).
Source: Trilogy AI