Fausse alerte Freebox :
Infrawatch a confondu des fichiers de modèle avec des services PHP
« La France, premier pays exposé aux failles PHP, à cause des Freebox » : l’information a fait le tour des réseaux en quelques heures, au moment même où les administrateurs de sites se précipitaient pour corriger deux vulnérabilités graves. Elle était fausse. Comment un simple nom de fichier a pu gonfler les chiffres, pourquoi les Freebox ne risquent rien ici, et qui doit vraiment agir cette semaine : pas les abonnés, mais les propriétaires de sites web.
Quelles failles PHP étaient en cause ?
Deux vulnérabilités critiques, corrigées le 21 octobre 2026.
PHP est le langage qui fait tourner une grande partie des sites web, dont la plupart des sites WordPress. Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux failles critiques, notées 9,2 sur 10, qui peuvent permettre d’exécuter du code à distance sur un serveur vulnérable sans être authentifié.
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le CERT-FR, le centre gouvernemental de veille et d’alerte, a publié une alerte dédiée. Le projet PHP insiste : les réglages d’atténuation ne suffisent pas, seule la mise à jour corrige le problème.
Par précaution, plusieurs sites sont passés en maintenance le temps de se mettre à jour. Une mise hors ligne préventive ne signifie pas qu’un site a été piraté.
C’est dans ce contexte tendu qu’est arrivée l’alerte sur les Freebox.
Que laissait croire le recensement d’Infrawatch ?
Que la France était, de loin, le pays le plus exposé, à cause des Freebox.
Infrawatch, une entreprise britannique qui cartographie les services visibles sur Internet, a publié un recensement des adresses présentant des signes d’utilisation de PHP. Le chercheur Lloyd Davies a relayé un premier relevé : 4,3 millions d’hôtes utilisant PHP observés en 48 heures, dont 1,97 million en France, « principalement sous Freebox OS ».
D’autres chiffres du rapport allaient encore plus loin, avec plus de 6 millions de services PHP attribués à la France, soit environ 60 % du total mondial. Freebox OS, l’interface de gestion des box de Free, apparaissait comme la principale explication.
Au moment où les failles PHP faisaient la une, la conclusion semblait évidente : des millions d’abonnés Free seraient vulnérables. Les premières reprises ont relayé ce risque, et certains conseillaient déjà de couper l’accès distant à sa Freebox.
Infrawatch précisait pourtant lui-même que ces chiffres, fondés sur des indices visibles de l’extérieur, ne prouvaient pas que les appareils étaient attaquables.
Pourquoi les Freebox ne sont-elles pas concernées ?
Parce qu’une extension de fichier n’est pas un serveur PHP.
L’interface Freebox OS, celle qu’on ouvre dans un navigateur pour gérer sa box, s’appuie sur des fichiers de modèles qui portent l’extension .php. C’est ce détail que les outils de recensement ont repéré.
Mais ces fichiers ne sont pas exécutés par PHP. Ils sont lus par un logiciel développé par Free lui-même. Aucun serveur PHP ne tourne dans la Freebox, comme l’a établi Frandroid après vérification.
Or les failles corrigées le 21 octobre visent le moteur PHP. Sans moteur PHP, il n’y a rien à exploiter. Les Freebox ne sont donc pas concernées par ces vulnérabilités.
Infrawatch a d’ailleurs reconnu l’erreur en expliquant que Freebox OS « signale à tort » utiliser PHP, et a corrigé son rapport le jour même.
Quels sont les chiffres corrigés ?
La France retombe loin derrière les États-Unis.
Après correction, Infrawatch recense environ 5,48 millions de services présentant des indices de PHP dans le monde. Les États-Unis arrivent en tête, avec environ 1,34 million de services.
La France ne compte plus que 245 333 services, derrière l’Allemagne, la Chine et le Japon. Le chiffre de près de 2 millions était donc massivement surestimé, surtout à cause des Freebox.
Ces chiffres restent des relevés d’indices visibles depuis Internet. Ils ne disent pas combien de serveurs sont réellement vulnérables, mais ils remettent la France à sa juste place.
Qui doit vraiment agir après ces failles PHP ?
Pas les abonnés Free, mais les propriétaires et gestionnaires de sites web.
Les abonnés Free. Rien à faire sur la box pour ces failles. Méfiez-vous en revanche de tout message vous demandant d’installer une « mise à jour PHP » ou de cliquer sur un lien pour « sécuriser votre Freebox » : c’est le genre d’actualité qu’exploitent les escrocs.
Les internautes. Rien à installer sur un téléphone ou un ordinateur. Ce sont les serveurs des sites qui doivent être corrigés.
Les entreprises qui ont un site web. C’est là que se situe le vrai sujet. Si votre site tourne en PHP, et c’est le cas de tous les sites WordPress, vérifiez auprès de votre hébergeur ou de votre prestataire que PHP est passé à une version corrigée.
Attention, mettre à jour WordPress ou ses extensions ne suffit pas : c’est le moteur PHP du serveur qui doit être corrigé. Et un site encore en PHP 8.1 ou antérieur ne reçoit plus aucun correctif officiel : il faut migrer. PHP 8.2 arrive lui-même en fin de vie le 31 décembre 2026.
Que rappelle cette fausse alerte ?
Qu’un scan automatique peut se tromper, et qu’il faut vérifier avant d’agir.
Les faux positifs. Un recensement qui se fonde sur des signatures visibles, comme une extension de fichier, peut compter des équipements qui ne sont pas concernés. L’extension .php ne signifie pas qu’un serveur PHP est actif.
L’effet boule de neige. Une première information inexacte circule vite. La correction arrive ensuite, et se diffuse toujours moins bien.
La bonne méthode. Avant de modifier une configuration, de changer de fournisseur ou d’alerter des clients, on vérifie la source, la méthode de détection et si l’équipement est réellement concerné.
Le vrai risque ne disparaît pas. La fausse alerte sur les Freebox ne doit pas faire oublier que les failles PHP, elles, sont bien réelles. Le danger n’était pas dans les box, il est dans les sites non mis à jour.
Questions fréquentes
Les Freebox sont-elles vulnérables aux failles PHP ?
Non. Elles n’embarquent pas de serveur PHP. Leurs fichiers en .php sont lus par un logiciel développé par Free.
Pourquoi parlait-on de millions de Freebox exposées ?
Parce qu’un recensement d’Infrawatch a pris les fichiers .php de l’interface Freebox OS pour des services PHP actifs.
Faut-il faire quelque chose sur sa Freebox ?
Non, pas pour ces failles. Méfiez-vous des messages qui vous demanderaient une « mise à jour PHP ».
Qui doit se mettre à jour ?
Les serveurs qui exécutent réellement PHP, donc les sites web. Leur PHP doit passer en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
Mettre à jour WordPress suffit-il ?
Non. C’est le moteur PHP du serveur qui doit être corrigé, généralement par l’hébergeur ou le prestataire du site.
Infrawatch a-t-il corrigé son rapport ?
Oui, le 21 octobre 2026. La France compte 245 333 services dans le relevé corrigé, contre près de 2 millions annoncés au départ.
- Alloforfait — Failles PHP : pourquoi les Freebox ont été accusées à tort, 21 octobre 2026.
- Selectra — Failles PHP : ce que doivent faire les internautes, 21 octobre 2026.
- Cryptoast — Failles PHP : la France en première ligne, faut-il s’inquiéter ?, 21 octobre 2026.
- Lloyd Davies sur X — Premier relevé des hôtes PHP.
- Frandroid — Faille PHP : les abonnés Free peuvent souffler, leur Freebox n’est pas concernée, 21 octobre 2026.
- 01net — Fausse alerte Freebox : une erreur a semé la panique, 21 octobre 2026.
WY-Créations accompagne depuis 2018 les artisans, les TPE, les PME et les professions libérales dans leur référencement sur Google, leur présence dans les réponses des IA et leur e-réputation.
Votre site tourne-t-il sur une version de PHP corrigée ?
Sites WordPress, hébergement, mises à jour, référencement : WY-Créations aide les entreprises à garder un site sûr, rapide et visible.