Le projet PHP a publié le 21 octobre 2026 des correctifs contre deux vulnérabilités critiques pouvant permettre l’exécution de code à distance sans connexion préalable. PHP est le langage utilisé côté serveur par de nombreux sites, notamment ceux fonctionnant avec WordPress.
L’essentiel
- Deux vulnérabilités critiques de PHP ont fait l’objet de correctifs le 21 octobre 2026.
- Les versions corrigées annoncées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- La mise à jour du moteur PHP relève de l’hébergement ; mettre à jour WordPress seul ne suffit pas.
- Une troisième faille, CVE-2026-115560, a été annoncée le 23 octobre ; elle exige une configuration inhabituelle et une mesure provisoire spécifique.
Le moteur des sites web est concerné
Les failles, identifiées CVE-2026-109618 et CVE-2026-109619, touchent la gestion de la mémoire et de l’état des requêtes. Les versions corrigées annoncées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les développeurs recommandent une mise à jour immédiate : les mesures temporaires ne remplacent pas les correctifs.
Selon Reuters, des outils d’intelligence artificielle ont contribué à découvrir les vulnérabilités. L’agence rapporte aussi des interruptions préventives de services et des millions de tentatives d’exploitation signalées par Cloudflare. Une tentative détectée ne prouve cependant pas qu’un serveur a été compromis.
Pour les responsables de sites
La version de PHP doit être vérifiée auprès de l’hébergeur : mettre à jour WordPress ou ses extensions ne suffit pas à corriger le moteur sous-jacent. Le projet Bref a également publié ses instructions de déploiement des versions corrigées pour ses propres utilisateurs.
Le 23 octobre, PHP a également signalé une troisième vulnérabilité, CVE-2026-115560, susceptible de permettre une exécution de code à distance dans une combinaison inhabituelle de configuration et de code applicatif. Elle n’est pas corrigée par les versions publiées le 21 octobre. L’équipe PHP prévoit de la traiter lors d’un cycle de mise à jour ultérieur ; dans l’intervalle, le CERT-EU recommande de désactiver session.upload_progress.enabled et de redémarrer les processus PHP concernés. Cette mesure doit être évaluée avec l’hébergeur ou le responsable technique, car elle peut modifier le fonctionnement de certaines applications.
Repères
PHP exécute du code sur le serveur avant d’envoyer une page au navigateur. Une CVE est un identifiant public de vulnérabilité ; l’exécution de code à distance permettrait à un attaquant de faire exécuter ses instructions sur un système vulnérable.
Pour prolonger la réflexion sur les usages du numérique : notre dossier consacré au numérique et à l’intelligence artificielle.
Une vigilance renforcée face aux tentatives d’exploitation
Dans sa mise à jour du 27 octobre, le CERT-FR signale des tentatives d’exploitation des deux vulnérabilités critiques initiales et rappelle que certaines preuves de concept circulent. Les responsables de sites doivent vérifier la version réellement exécutée par leur hébergeur et non se limiter au numéro de version du CMS. Les correctifs des branches maintenues et les éventuels correctifs rétroportés par les distributeurs doivent être contrôlés auprès du fournisseur.
La troisième faille, publiée le 23 octobre, présente un contexte d’exploitation distinct et ne doit pas être assimilée, sans preuve, au même niveau d’exposition que les deux premières. Les avis officiels détaillent les mesures de réduction du risque.
Sources et références
- PHP, communiqués officiels des 21 et 23 octobre 2026
- CERT-EU, avis actualisé le 23 octobre sur les trois CVE
- CERT-FR (ANSSI), alerte actualisée au 27 octobre 2026
- Bref, consignes officielles de mise à jour
- Reuters, 21 octobre 2026
- Reuters, 22 octobre 2026
Note au lecteur : cet article résume les informations essentielles des sources citées. Pour découvrir le sujet dans son contexte complet et en savoir plus, nous vous invitons à consulter les articles et documents d’origine grâce aux liens indiqués ci-dessus.
