Le 21 octobre 2026, l’équipe de sécurité de PHP a publié un avis d’urgence : deux failles critiques permettent à un attaquant d’exécuter du code à distance sur un serveur web, sans compte ni mot de passe. PHP est le langage qui fait fonctionner la plupart des sites internet : WordPress, Joomla, PrestaShop, Dolibarr et bien d’autres.
Les versions corrigées sont disponibles depuis le jour même. Si votre site fonctionne avec PHP, sa mise à jour ne peut pas attendre.
Ce que permettent ces failles
Les deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, touchent le cœur de PHP : la façon dont il prépare puis nettoie chaque requête reçue par le site. Une requête malveillante peut corrompre la mémoire et amener le serveur à exécuter du code choisi par l’attaquant : installation d’un logiciel malveillant, vol de données, prise de contrôle du site. L’équipe de PHP indique avoir démontré une attaque sur Apache avec mod_php, déclenchable avant même que le code du site ne s’exécute.
Qui est concerné
- Toutes les installations de PHP qui servent des pages web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.
- Tous les sites et logiciels écrits en PHP : sites vitrines et boutiques en ligne (WordPress, Joomla, PrestaShop), mais aussi les logiciels de gestion accessibles par le web, comme Dolibarr.
- Les anciennes versions de PHP, 8.1 et antérieures, qui ne reçoivent plus de mises à jour du projet PHP.
Les versions corrigées
Mettez à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, selon la version utilisée par votre site. Les distributions Linux ont reçu les correctifs à l’avance et publient leurs paquets à jour.
Pour PHP 8.1 et les versions plus anciennes, il n’existe plus de version corrigée officielle : la vraie solution est de passer à une version de PHP encore maintenue, après avoir vérifié que votre site la supporte.
Que faire maintenant
- Vérifiez la version de PHP de votre site, dans le panneau de votre hébergeur ou auprès de votre prestataire.
- Si votre site est chez un hébergeur, assurez-vous qu’il a appliqué le correctif : sur un hébergement mutualisé, c’est en général lui qui met PHP à jour.
- Si vous gérez votre propre serveur, installez les paquets corrigés puis redémarrez les services PHP.
- Profitez-en pour mettre à jour le site lui-même : CMS, extensions et thèmes.
L’équipe de PHP décrit des réglages qui réduisent l’exposition en attendant la mise à jour, mais elle précise qu’ils ne rendent pas une installation sûre : seule la mise à jour corrige les failles.
Besoin d’aide ?
Vous ne savez pas quelle version de PHP fait tourner votre site, ou vous hésitez à faire la mise à jour vous-même ? Appelez MB Informatique au 03 89 65 90 45 ou demandez un devis : nous vérifions votre site, appliquons la mise à jour et contrôlons que tout fonctionne ensuite.
Source : avis de sécurité publié sur php.net le 21 octobre 2026.
