Le 21 octobre 2026, l’équipe PHP a publié des correctifs pour deux vulnérabilités critiques susceptibles de permettre l’exécution de code à distance sans authentification. L’ENISA et plusieurs organismes européens appellent les organisations à intervenir immédiatement. L’enjeu concerne les sites et applications utilisant PHP côté serveur, pas simplement le navigateur de leurs visiteurs. [1][2]
Pourquoi cette alerte dépasse le seul code d’un site
PHP sert notamment à produire des pages dynamiques, à dialoguer avec des bases de données et à traiter la logique d’une application avant d’envoyer son contenu au navigateur. Une faiblesse de ce moteur peut donc toucher une application même lorsque son propre code n’a pas changé. Le NCSC britannique rappelle aussi que PHP est intégré à d’autres produits : un inventaire limité aux seuls sites développés en interne peut laisser de côté des dépendances importantes. [3]
Les failles CVE-2026-109618 et CVE-2026-109619 concernent la mémoire et l’état interne des requêtes. Selon l’équipe PHP, le risque est particulièrement élevé avec Apache mod_php : une exploitation a été démontrée avant l’exécution du code applicatif. Les autres modes de déploiement ne doivent pas être considérés comme épargnés. [1]
Quelles versions installer ?
Les correctifs sont disponibles dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les utilisateurs de paquets maintenus par une distribution doivent vérifier les versions corrigées auprès de leur fournisseur. Pour une branche ancienne, il faut confirmer le support réellement assuré ou migrer vers une version prise en charge. [1]
Le projet insiste sur une limite essentielle : les mesures temporaires ne remplacent pas la mise à jour. Elles peuvent réduire certaines voies d’attaque, mais ne rendent pas à elles seules une installation sûre. [1]
Une priorité pour les services exposés à Internet
Les autorités européennes recommandent d’identifier les applications concernées, de coordonner l’intervention avec l’hébergeur ou le prestataire et de traiter en priorité les systèmes accessibles depuis Internet. Lorsque le correctif ne peut pas être appliqué immédiatement, elles invitent à envisager l’isolement des applications exposées. [2]
Le NCSC recommande également de rechercher d’éventuelles traces de compromission lorsque la correction ou la désactivation n’a pas pu être rapide, puis de suivre les mises à jour des logiciels qui embarquent PHP. Une mise à jour traite la vulnérabilité ; elle ne constitue pas, à elle seule, la preuve qu’aucune intrusion n’a déjà eu lieu. Cette alerte ne permet pas de conclure qu’un site précis a été attaqué. [3]
Sources et références
[1] Équipe PHP — Avis de sécurité et versions corrigées, 21 octobre 2026.
[2] ENISA et partenaires européens — Appel à une action immédiate, 21 octobre 2026.
[3] NCSC britannique — Recommandations aux organisations, 21 octobre 2026.
Sources consultées le 22 octobre 2026.
Crédit photographique
Photo d’illustration d’archive : peluche ElePHPant, mascotte de PHP, photographiée par Atomic Taco le 4 décembre 2015. « Blue Open Goodies ElePHPant (23626304652) ». Original sur Wikimedia Commons — Licence CC BY-SA 2.0. Version redimensionnée à 1 280 × 853 pixels, sans recadrage du fichier ; la photographie reste sous cette licence. Elle ne représente pas un incident informatique.
.jpg){kind=link}