Deux failles critiques dans PHP : faut-il mettre à jour son site ?

Publié le 25 octobre 2026 · Mis à jour le 25 octobre 2026

Deux vulnérabilités critiques de PHP permettent, dans certaines conditions, l’exécution de code à distance sans authentification. Le projet PHP, la CISA et le CERT-EU demandent une mise à jour immédiate vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Les sites WordPress, Drupal et autres applications PHP exposées à Internet sont concernés par l’urgence, même si aucune exploitation réussie n’avait encore été observée par la CISA lors de sa dernière mise à jour.

Deux failles critiques surnommées php2shell

Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 sont notées 9,2 sur 10 selon le système CVSS v4.0. La première touche la gestion d’une situation de mémoire insuffisante ; la seconde exploite un état global devenu obsolète entre deux requêtes.

Dans les deux cas, un attaquant non authentifié pourrait parvenir à exécuter du code sur le serveur. Le projet PHP indique que toutes les installations servant des requêtes web sont potentiellement exposées : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le risque est considéré comme particulièrement élevé avec mod_php.

Quelles versions installer ?

• PHP 8.5.12 pour la branche 8.5 ;
• PHP 8.4.27 pour la branche 8.4 ;
• PHP 8.3.36 pour la branche 8.3 ;
• PHP 8.2.35 pour la branche 8.2.

PHP 8.1 et les versions antérieures ne reçoivent plus les mises à jour normales du projet. Des fournisseurs Linux ou de support longue durée peuvent proposer des correctifs rétroportés. Le projet a aussi publié des correctifs minimaux pour certaines anciennes branches, mais une migration vers une version maintenue reste préférable.

Pour les sites WordPress, mettre à jour le cœur et les extensions ne suffit pas si la version PHP du serveur reste vulnérable. La correction se fait au niveau de l’hébergement. C’est moins visible qu’un nouveau bouton dans l’administration, mais nettement plus important.

Une troisième vulnérabilité signalée le 23 octobre

PHP a également communiqué sur CVE-2026-115560, une autre possibilité d’exécution de code à distance qui nécessite une combinaison de configuration inhabituelle. Dans l’attente du prochain correctif régulier, le projet recommande de désactiver session.upload_progress.enabled lorsque la configuration concernée est utilisée.

Cette troisième faille ne doit pas masquer l’essentiel : pour les deux vulnérabilités principales, les mesures temporaires ne remplacent pas la mise à jour. La CISA conseille même de retirer d’Internet les systèmes qui ne peuvent pas être corrigés immédiatement.

Comment vérifier son hébergement sans casser le site ?

1. relever la version PHP active dans le panneau de l’hébergeur ou dans l’outil de santé du site ;
2. vérifier que cette version correspond à l’une des versions corrigées ;
3. sauvegarder le site et la base de données avant une migration de branche ;
4. tester les extensions, le thème et les fonctions critiques dans un environnement de préproduction ;
5. surveiller les journaux pour détecter des processus PHP lançant des commandes ou téléchargeant des outils.

Notre guide sur l’accès distant avec Tailscale rappelle l’intérêt de limiter l’exposition directe des services. Pour suivre d’autres évolutions techniques récentes, consultez aussi l’ouverture de TorchTPU à PyTorch et le fonctionnement de Google Deep Review.

Pas de preuve publique d’une attaque réussie à cette heure

Dans son alerte révisée le 23 octobre, la CISA indique ne pas avoir observé d’exploitation réussie dans la nature. Le CERT-EU note toutefois que des démonstrations techniques circulent publiquement, ce qui augmente le risque. L’absence de cas confirmé n’est donc pas une permission d’attendre : c’est précisément la petite fenêtre où une mise à jour évite de devenir l’exemple suivant.

Sources

• Projet PHP, avis de sécurité du 21 octobre 2026
• CISA, alerte révisée le 23 octobre 2026
• CERT-EU, avis 2026-018

Informations vérifiées le 25 octobre 2026.