Les Freebox sont au centre d’un relevé inhabituel sur l’exposition de services PHP sur Internet. Dans son Internet Exposure Report, Infrawatch recense 11 millions de services PHP actifs répartis sur 4,38 millions d’adresses IP. La France concentrerait 6,62 millions de ces services, un volume qui ressort très nettement dans cette cartographie mondiale.
L’analyste Lloyd Davies, chez Infrawatch, indique avoir observé 4,3 millions d’hôtes utilisant PHP au cours des 48 dernières heures. Parmi eux, 1,97 million d’hôtes fonctionneraient principalement sous Freebox OS, l’interface d’administration des routeurs de Free. Ce rapprochement ne suffit toutefois pas à établir que Freebox OS embarque une version vulnérable de PHP.
Deux failles PHP critiques attendent un correctif
L’équipe de sécurité de PHP a prévenu qu’une publication de sécurité interviendrait le mercredi 21 octobre 2026 à 14 heures UTC, soit 16 heures en France métropolitaine. Elle concerne deux vulnérabilités critiques, chacune évaluée à 9,2 sur l’échelle CVSSv4, et invite les utilisateurs de PHP à se préparer à mettre à jour leurs installations.
PHP est un langage exécuté côté serveur : il permet notamment de générer des pages Web et fait fonctionner des logiciels tels que WordPress. Des rumeurs évoquent des failles d’exécution de code à distance ; si elles se confirmaient, un attaquant pourrait tenter de lancer son propre programme sur une machine affectée. Les détails techniques des vulnérabilités détermineront quels services et quelles configurations sont effectivement concernés.
Pourquoi Freebox OS ressort dans le relevé
Freebox OS donne accès à des réglages comme le Wi-Fi, l’ouverture de ports, le contrôle parental, les machines virtuelles ou un VPN, depuis l’interface mafreebox.freebox.fr. Free propose aussi un accès distant, afin d’administrer sa box hors de son domicile via un port personnalisé.
Infrawatch associe 6,37 millions de services PHP au réseau de Free, pour moins de 2 millions de box détectées. Son rapport estime que 94,1 % des Freebox repérées exposent plusieurs instances, soit environ trois par appareil. À l’échelle mondiale, 72,9 % des services PHP observés utilisent des ports autres que les ports Web habituels 80 et 443, ce qui peut compliquer l’identification des services exposés.
Ce que ça change pour les abonnés
Pour un abonné Free, l’enjeu concerne surtout les fonctions d’administration accessibles depuis Internet : une box sert de point d’entrée au réseau domestique et à ses équipements connectés. La publication du correctif PHP sera donc un moment à surveiller pour savoir si les composants de Freebox OS sont concernés et si une intervention de Free est nécessaire. En l’état, les chiffres d’exposition d’Infrawatch signalent une surface potentielle importante, pas une vulnérabilité confirmée des Freebox.
Source : Infrawatch — Internet Exposure Report
Rédigé avec l'assistance d'outils d'IA, vérifié et validé par la rédaction.