Failles critiques dans PHP : pourquoi votre site doit être mis à jour
PHP a corrigé le 21 octobre deux failles critiques permettant de prendre le contrôle d'un serveur, et le CERT-FR constate des tentatives d'exploitation. Ce qu'il faut vérifier.
PHP fait tourner une grande partie des sites web, dont tous ceux construits avec WordPress, et de nombreux logiciels métier. Le 21 octobre, ses développeurs ont publié en urgence des versions corrigeant deux failles critiques qui permettent, dans certaines configurations, d'exécuter du code sur le serveur sans aucune authentification. Depuis, le CERT-FR a constaté des tentatives d'exploitation. Si votre site ou votre logiciel repose sur PHP, la question de sa mise à jour se pose cette semaine.
Ce qui s'est passé
Le 20 octobre, l'équipe de PHP a annoncé une mise à jour de sécurité critique pour le lendemain, en précisant qu'elle corrigerait deux vulnérabilités notées 9,2 sur 10 selon l'échelle CVSS. Le 21 octobre, elle a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les deux failles, CVE-2026-109618 et CVE-2026-109619, peuvent permettre une exécution de code à distance sans authentification. Selon PHP, le risque est le plus élevé avec le module PHP d'Apache, et les installations concernées incluent aussi PHP-FPM, php-cgi, FrankenPHP et LiteSpeed. Le message de PHP est sans ambiguïté : il n'existe pas de contournement complet, et la mise à jour est le seul choix sûr.
Le CERT-FR a publié le même jour l'alerte CERTFR-2026-ALE-014, mise à jour à plusieurs reprises jusqu'au 27 octobre. Il indique que des preuves de concept existent pour certains déploiements et qu'il constate des tentatives d'exploitation ciblant ces configurations. Une troisième faille, CVE-2026-115560, a été publiée le 23 octobre : selon PHP, elle suppose une combinaison peu probable de réglages et de code, et sera corrigée lors de la prochaine version régulière, avec en attendant un réglage de configuration recommandé.
Enfin, le 26 octobre, PHP a publié de nouvelles versions pour Windows, intégrant un correctif de la bibliothèque de décompression Brotli.
Qui est concerné
D'après le CERT-FR, sont vulnérables :
- toutes les versions 5, 7, 8.0 et 8.1, qui ne sont plus maintenues et ne recevront pas de correctif ;
- les versions 8.2 antérieures à 8.2.35, 8.3 antérieures à 8.3.36, 8.4 antérieures à 8.4.27 et 8.5 antérieures à 8.5.12.
Le premier point est le plus inquiétant. Beaucoup de sites de PME tournent encore sur une version ancienne de PHP, parce que « tout fonctionne » et que personne n'a voulu prendre le risque d'une mise à niveau. Avec ces failles, ce n'est plus un sujet de confort : une version qui ne reçoit plus de correctifs reste vulnérable, point. Et PHP 8.2 elle-même arrivera en fin de vie le 31 décembre 2026.
Le CERT-FR rappelle aussi de vérifier les produits qui embarquent PHP : un logiciel installé sur un serveur, un équipement, une application métier achetée sur étagère peuvent contenir leur propre version de PHP, qui ne se met pas à jour avec le système.
Ce qu'il faut faire, selon votre situation
Votre site est chez un hébergeur mutualisé
C'est l'hébergeur qui met à jour PHP sur ses serveurs. Vérifiez dans votre espace client la version utilisée par votre site. Si elle est en 8.1 ou plus ancienne, passez à une version maintenue : c'est souvent un simple réglage, mais testez votre site juste après, car un vieux thème ou une vieille extension peut ne pas suivre.
Votre site ou votre logiciel tourne sur un serveur dédié
Quelqu'un doit appliquer la mise à jour : votre prestataire, votre infogérant ou votre équipe informatique. Demandez-lui, par écrit, la version en production avant et après. Le CERT-FR recommande aussi, en cas de doute, d'isoler les machines concernées en attendant la migration.
Vous ne savez pas
C'est la situation la plus fréquente, et la plus risquée. Commencez par lister vos sites et applications web, et demandez à chaque prestataire sur quelle technologie et quelle version ils reposent. Une réponse qui tarde à venir est déjà une information.
La leçon : la maintenance n'est pas une option
Cette affaire arrive une semaine après les correctifs critiques de Next.js, que nous évoquions dans notre article sur les correctifs de la mi-octobre. Le constat est le même : les failles sérieuses se succèdent, dans tous les langages, et un site non maintenu prend du retard en quelques mois. Ce qui protège, ce n'est pas le choix d'une technologie plutôt qu'une autre, c'est d'avoir quelqu'un qui suit les annonces, teste les mises à jour et les applique dans les jours qui suivent.
C'est ce que comprend la maintenance des logiciels et sites que nous développons, avec une réponse sous 24 heures ouvrées et un hébergement en France. Nous détaillons ces habitudes dans notre article sur la sécurité d'un logiciel au quotidien. Si vous n'êtes pas sûr de l'état de vos sites, parlons-en lors d'un rendez-vous de 30 minutes.