Deux failles critiques de PHP ont fait l’objet de correctifs le 21 octobre 2026. Pour une entreprise, la priorité est de faire vérifier l’environnement qui exécute son site ou son application. Voici les informations confirmées et notre méthode pour organiser cette intervention.
Que confirme l’alerte officielle PHP ?
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 peuvent permettre une exécution de code à distance sans authentification. Elles concernent la gestion de la mémoire et de l’état interne des requêtes.
L’équipe PHP demande de traiter comme exposées les installations qui servent des requêtes web, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le risque est jugé particulièrement élevé pour mod_php : une exploitation a été démontrée avant l’exécution du code applicatif.
Source : bulletin de sécurité PHP du 21 octobre 2026.
Quelles versions de PHP corrigent ces failles ?
| Branche PHP | Version corrective du 21 octobre |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Un fournisseur peut aussi distribuer un paquet avec correctif rétroporté : demandez confirmation explicite de la correction des deux CVE. PHP 8.1 et les branches plus anciennes ne bénéficient plus du support courant du projet. Des rétroportages et offres de maintenance existent, mais leur disponibilité doit être vérifiée auprès du fournisseur.
Les mesures temporaires ne constituent pas une protection complète : la mise à jour reste nécessaire.
WordPress, Laravel : que faut-il vérifier ?
PHP est le moteur qui exécute ces applications sur le serveur. Mettre à jour un thème, une extension ou une dépendance Composer ne remplace donc pas la correction de ce moteur. La question à poser à votre hébergeur est précise : « Le PHP réellement utilisé par mon domaine intègre-t-il les correctifs CVE-2026-109618 et CVE-2026-109619 ? »
Attention aux environnements multiples : un même compte peut héberger plusieurs sites avec des versions différentes. La version affichée par la commande php -v correspond au terminal et ne prouve pas, à elle seule, celle utilisée pour les requêtes web.
Notre plan d’action pour les PME et les organisations
- Identifier les services concernés. Recensez les domaines, sous-domaines, boutiques, espaces clients et applications internes accessibles depuis Internet.
- Mobiliser l’hébergeur ou l’administrateur. Demandez la version exacte, le paquet correctif et le délai d’application. Une réponse « vous êtes en PHP 8 » est insuffisante.
- Préparer l’intervention. Vérifiez les sauvegardes et les tests essentiels sans retarder inutilement la correction. Prévenez les utilisateurs si une interruption est nécessaire.
- Appliquer puis vérifier. Faites confirmer que les processus web exécutent bien la version corrigée. Testez la connexion, les formulaires, les paiements et les fonctions métier.
- Surveiller après la mise à jour. Examinez les erreurs et comportements inhabituels. Corriger une vulnérabilité ne démontre pas l’absence d’une compromission antérieure.
Si votre hébergeur ne propose pas encore le correctif
Ouvrez une demande urgente avec les références des deux CVE. Faites évaluer par l’administrateur une restriction d’accès ou une suspension temporaire du service exposé. Évitez de copier des réglages de mémoire trouvés en ligne sans examiner leurs effets sur la disponibilité du serveur.
Une faille ne prouve pas que votre site a été piraté
Il faut distinguer exposition, tentative d’attaque et compromission confirmée. Une panne ou une indisponibilité ne suffit pas à conclure à un piratage. En cas de doute, conservez les journaux et faites analyser les éléments disponibles.
Besoin d’accompagnement ? PF Technology propose des services de maintenance informatique et de développement sur mesure. Écrivez à contact@pftecho.com en indiquant votre hébergeur, votre application et la version PHP connue, sans transmettre de mot de passe.
Informations vérifiées le 21 octobre 2026. Consultez le bulletin officiel PHP pour les évolutions de cette alerte.
Commentaires