Le 21 octobre 2026, l'équipe de PHP a publié des correctifs pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619. Elles permettent à un attaquant, sans compte ni mot de passe, d'exécuter du code sur un serveur qui fait tourner PHP. Le CERT-FR a émis une alerte et indique constater des tentatives d'exploitation. Si votre site utilise PHP (WordPress, PrestaShop, Joomla, Laravel, beaucoup de sites sur mesure), ce sujet vous concerne.
Ce qui se passe, en clair
La première faille (CVE-2026-109618) touche la façon dont PHP gère le manque de mémoire au début d'une requête, notamment lors de l'envoi de formulaires avec fichiers. La seconde (CVE-2026-109619) vient d'informations d'une requête qui restent en mémoire et sont réutilisées par la requête suivante. Dans les deux cas, une requête piégée peut aboutir à l'exécution de code avec les droits du serveur web.
PHP les classe en gravité critique, avec un score CVSS de 9,2 sur 10. Une exploitation complète a été démontrée sur Apache avec mod_php ; d'autres modes de fonctionnement (PHP-FPM, FrankenPHP, LiteSpeed) sont concernés à des degrés divers selon les avis publiés par PHP.
Les versions touchées et corrigées
PHP 8.5 : corrigé en 8.5.12.
PHP 8.4 : corrigé en 8.4.27.
PHP 8.3 : corrigé en 8.3.36.
PHP 8.2 : corrigé en 8.2.35 (fin de vie le 31 décembre 2026).
PHP 8.1 et versions plus anciennes : plus maintenues par le projet PHP. Le CERT-FR indique que toutes leurs versions sont affectées. PHP a publié des correctifs minimaux pour 7.4, 8.0 et 8.1, mais la seule vraie solution est de migrer vers une version maintenue.
Vous êtes sur un hébergement mutualisé
C'est le cas le plus fréquent pour un site vitrine ou un WordPress. Le moteur PHP est géré par l'hébergeur : c'est à lui d'installer les versions corrigées. Votre travail tient en trois vérifications.
1. Ouvrez le panneau de votre hébergeur et regardez la version de PHP de chaque site. Si elle est en 8.1 ou en dessous, passez en 8.3 ou 8.4 après avoir vérifié que vos extensions et votre thème le supportent.
2. Consultez la page d'état ou les annonces de votre hébergeur pour savoir si les correctifs du 21 octobre sont déployés.
3. Mettez à jour WordPress, le thème et les extensions dans la foulée : une faille ne vient jamais seule.
Vous gérez votre propre serveur ou un VPS
Mettez PHP à jour vers la version corrigée de votre branche, puis redémarrez tous les processus PHP (PHP-FPM, Apache). Si vous utilisez Docker, reconstruisez vos images sur une image de base à jour et recréez les conteneurs : une image ancienne garde l'ancienne version de PHP.
Si vous ne pouvez pas mettre à jour immédiatement, PHP publie des mesures d'atténuation, par exemple désactiver session.upload_progress dans la configuration du serveur, puis redémarrer chaque processus. Le projet PHP et le CERT-FR sont clairs : ces mesures ne remplacent pas la mise à jour, elles limitent seulement le risque en attendant.
Après la mise à jour : chercher des traces
Une faille exploitée avant correction laisse parfois des traces : fichiers PHP inconnus dans les dossiers d'envoi, comptes administrateurs créés récemment, tâches planifiées inconnues, pics de requêtes POST dans les journaux. Le CERT-FR recommande d'isoler les équipements affectés et de procéder à la migration vers une version maintenue. En cas de doute, faites appel à un professionnel avant de remettre le site en service.
La leçon pour tous les sites
Une version de PHP non maintenue, c'est une porte que plus personne ne répare. Notez dans votre agenda la fin de vie de votre version (PHP 8.2 s'arrête le 31 décembre 2026), activez la double authentification sur vos comptes d'administration (mon guide des applications de double authentification), et gardez une sauvegarde récente hors de l'hébergement.
Comment connaître la version de PHP de votre site
Sur un hébergement mutualisé : dans le panneau de l'hébergeur, rubrique PHP ou configuration du site.
Sur WordPress : Outils, puis Santé du site, onglet Informations, section Serveur.
Sur un serveur : la commande php -v, en sachant que la version utilisée par le site web (PHP-FPM ou module Apache) peut différer de celle de la ligne de commande. Vérifiez celle qui sert réellement les pages.
Dans Docker : la version est fixée par l'image de base indiquée dans votre Dockerfile.
Questions fréquentes
Mon site WordPress est-il vulnérable ?
S'il tourne sur une version de PHP non corrigée, oui : la faille se situe dans PHP lui-même, pas dans WordPress. Une fois PHP mis à jour par vous ou par votre hébergeur, ce risque précis disparaît.
Mon hébergeur s'en occupe-t-il ?
Sur un hébergement mutualisé, c'est son rôle, mais vérifiez quand même que vos sites n'utilisent pas une ancienne version de PHP choisie il y a des années dans le panneau : beaucoup d'hébergeurs laissent ce choix au client.
Les sites qui n'utilisent pas PHP sont-ils concernés ?
Non, pas par cette faille. Un site statique ou une application en Node.js, Python ou Go n'utilise pas le moteur PHP. Ce site, par exemple, est construit avec Next.js.
Vous n'êtes pas sûr que votre site soit à jour ? Je peux faire la vérification pour vous. Sources : annonces de php.net, avis de sécurité de PHP et alerte CERTFR-2026-ALE-014, consultés le 3 novembre 2026.
