Fin octobre 2026, l’équipe officielle de PHP a publié des correctifs d’urgence après la découverte de deux vulnérabilités critiques permettant l’exécution de code à distance (RCE). Ces failles, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ont été largement relayées par les autorités de cybersécurité et obligent les administrateurs de sites web — et par ricochet certains particuliers — à vérifier leurs installations.
Ce qui s’est passé et pourquoi c’est important
Les avis publiés le 21 octobre 2026 expliquent que les vulnérabilités peuvent permettre à un attaquant d’exécuter du code à distance sur un serveur hébergeant PHP. L’une des failles est liée à une corruption mémoire lors d’une situation « out‑of‑memory » (manque de mémoire) qui peut laisser des structures partiellement initialisées ; l’autre affecte des parties centrales du moteur PHP. Les équipes PHP ont diffusé des versions corrigées le 21 octobre 2026 pour les branches maintenues (par exemple des releases numérotées 8.5.12, 8.4.27, 8.3.36, 8.2.35 selon les avis officiels).
Qui est concerné ?
- Propriétaires de sites web utilisant PHP (blogs, boutiques, sites associatifs, etc.).
- Hébergeurs et services en ligne qui exécutent PHP côté serveur.
- Particuliers qui gèrent un site chez un hébergeur : même si vous n’administrez pas le serveur vous‑même, votre prestataire doit appliquer les correctifs.
Les versions non maintenues de PHP peuvent ne pas recevoir de correctifs officiels. Il est donc important de vérifier quelle version tourne sur votre site et si votre hébergeur propose une mise à jour.
Ce que vous pouvez faire simplement (sans manipulations risquées)
- Contactez votre hébergeur ou la personne qui gère votre site pour demander si les correctifs PHP du 21 octobre 2026 ont bien été appliqués.
- Si vous administrez votre site vous‑même, consultez la page de sécurité officielle de PHP pour les notices et les versions corrigées : php.net. Ne téléchargez rien depuis des sites non officiels.
- Si vous utilisez un service tiers (CMS, plugin, solution clé en main), vérifiez les avis de sécurité de ces services : certains fournisseurs ont publié des instructions ou des mises à jour à appliquer.
- Soyez attentif aux signes d’alerte : pages modifiées, connexions inconnues, envoi d’emails suspects depuis votre domaine. En cas de doute, mettez le site en maintenance et demandez de l’aide.
Conseil de prudence
Ne tentez pas de corriger le serveur si vous n’êtes pas à l’aise : une mauvaise manipulation peut rendre le site inaccessible. Privilégiez la communication avec votre hébergeur ou un prestataire de confiance. Les autorités nationales (CERT‑FR, ENISA, etc.) ont publié des avis le 21 octobre 2026 pour accompagner les opérateurs et les utilisateurs.
La situation montre à quel point les composants serveur (comme PHP) restent critiques pour la sécurité d’un site. Tenir son logiciel à jour et vérifier les communications de son hébergeur sont des gestes simples qui limitent les risques.
Si vous souhaitez comprendre comment je peux vous aider à vérifier ou mettre à jour un site en toute sécurité, j’explique ici en détail mes prestations d’installation et assistance pour logiciels.