Vous avez installé de bonnes serrures dans votre boutique, puis vous découvrez une faiblesse dans la structure du bâtiment. Une vulnérabilité du logiciel qui fait fonctionner votre site ressemble à ce problème : elle peut rester invisible dans les pages que vos clients consultent.
Le 21 octobre 2026, PHP a publié des correctifs pour deux failles critiques permettant, dans certaines conditions, une exécution de code à distance sans authentification. Si votre site utilise PHP, le travail revient au responsable du serveur ou à votre hébergeur.
Demandez quelle version de PHP sert réellement votre site et si elle contient les correctifs des CVE-2026-109618 et CVE-2026-109619. Mettre à jour un thème ou une extension de site ne suffit pas à mettre à jour le moteur PHP.
Le Centre canadien indique dans sa mise à jour du 27 octobre que les deux failles font l'objet d'une exploitation réelle et ont été ajoutées au catalogue KEV de la CISA le 26 octobre. Les premières alertes parlaient d'une preuve de concept ; le statut a donc changé. Cela ne prouve pas que votre site a été compromis. [4]
Pourquoi PHP concerne-t-il votre site ?
PHP est un langage exécuté sur le serveur. Il peut participer à la connexion des utilisateurs, au traitement d'un formulaire ou au fonctionnement d'une boutique en ligne. La faiblesse concernée se situe dans le moteur et son traitement interne, pas seulement dans l'apparence d'une page.
Une erreur de mémoire peut permettre au serveur de traiter des données qu'il ne devrait plus utiliser. Le projet PHP décrit un problème lié aux interruptions par manque de mémoire et un autre lié à un état interne conservé entre des requêtes. Les deux portent des identifiants distincts et doivent être suivis comme tels. [1] [2] [3]
Qui doit agir ?
- Responsables de sites et d'entreprises : contactez le développeur ou l'hébergeur et demandez une confirmation de correction.
- Équipes informatiques : inventoriez les services, conteneurs et produits tiers qui embarquent PHP.
- Visiteurs : le correctif concerne normalement le serveur du site, pas une mise à jour à installer sur votre téléphone.
La présence de PHP ne prouve pas qu'une attaque a réussi. Inversement, un site qui paraît fonctionner normalement ne prouve pas que le logiciel a reçu son correctif.
Quelles versions faut-il mettre à jour ?
Les avis officiels indiquent les versions corrigées suivantes pour les branches maintenues. Les versions antérieures de la branche correspondante doivent être mises à jour. [1] [5]
| Branche PHP | Version corrigée pour les deux CVE |
|---|---|
| 8.5.x | 8.5.12 |
| 8.4.x | 8.4.27 |
| 8.3.x | 8.3.36 |
| 8.2.x | 8.2.35 |
PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour du projet PHP. Certains fournisseurs proposent des correctifs rétroportés : vérifiez leurs paquets exacts ou préparez une migration vers une branche prise en charge. [1]
Une demande claire à votre prestataire
- Identifier la personne responsable du serveur et de son hébergement.
- Demander la version active et le correctif du fournisseur.
- Appliquer la mise à jour et recharger les processus concernés.
- Vérifier la version réellement utilisée pour les requêtes web.
- Contrôler les fonctions importantes : connexion, formulaires, paiement ou dépôt de fichiers, selon votre application.
- Consigner la preuve de correction, la date et le responsable.
Pour une entreprise au Ghana, au Canada ou ailleurs, cet échange doit produire un résultat vérifiable. « Tout va bien » est moins utile qu'une référence au paquet corrigé et à la vérification du service après redémarrage.
Pour les développeurs et équipes informatiquesExplorer les détails techniquesDeux CVE, version active, sessions et dépendances Windows.
Deux défauts de gestion mémoire
CVE-2026-109618 : interruption lors d'un manque de mémoire
Une interruption peut survenir pendant que des données internes de requête ne sont que partiellement initialisées. Le nettoyage risque alors d'interagir avec une mémoire invalide. L'avis du mainteneur décrit notamment une démonstration contre Apache mod_php. [2]
CVE-2026-109619 : état interne périmé
Un état propre à une requête peut rester accessible après la libération de sa mémoire. Une requête ultérieure traitée par le même processus peut interagir avec cet état périmé. [3]
PHP cite plusieurs modes de traitement web, dont PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed, et considère le risque particulièrement élevé pour mod_php. [1]
Vérifier le processus web, pas seulement le terminal
La commande php -v est un indice d'inventaire, mais le binaire CLI peut différer de celui du serveur web. Utilisez un contrôle opérationnel protégé ; ne publiez pas une page phpinfo() exposant la configuration au public. Associez chaque service à son paquet ou son image, puis vérifiez le redémarrage et les parcours applicatifs.
Un avis distinct sur les sessions : CVE-2026-115560
Le 23 octobre, PHP a décrit un vecteur séparé, dans une combinaison inhabituelle : session.serialize_handler est configuré en php_binary ou php_serialize, passe à php à l'exécution avant session_start(), et la progression des téléversements reste activée. L'avis recommande la mesure suivante dans ce contexte, en attendant le correctif annoncé dans le cycle normal :
session.upload_progress.enabled=0La recommandation était déjà proposée pour un chemin d'attaque de CVE-2026-109619. Ne présentez pas les correctifs du 21 octobre comme corrigeant automatiquement cette troisième CVE. La documentation consultée le 30 octobre n'annonce pas ici de version corrigée pour ce cas distinct. [1]
Windows : vérifier également les dépendances du paquet
Les reconstructions Windows du 26 octobre, 8.5.12-1, 8.4.27-1, 8.3.36-1 et 8.2.35-1, ajoutent Brotli 1.2.1 pour CVE-2026-111497. Le moteur conserve son numéro de version. C'est une autre vulnérabilité, expliquée dans notre guide Brotli. [1]
Si la mise à jour immédiate est impossible, suivez les mesures exactes du fournisseur et envisagez une réduction de l'exposition. Une règle de pare-feu ne remplace pas un moteur corrigé. Les journaux et arrêts inhabituels doivent être examinés, sans les assimiler automatiquement à une preuve d'intrusion.
Ce que cet article établit
Les sources attestent les vulnérabilités et les corrections citées. Nous n'avons pas reproduit un exploit, audité votre serveur ni mesuré des résultats chez un client. Une preuve de concept, une exploitation observée et un serveur effectivement compromis sont trois affirmations différentes.
Pour préparer un contrat de maintenance ou clarifier les responsabilités autour d'un site d'entreprise, présentez votre besoin à Adido Tech. N'attendez pas cet échange pour faire appliquer les correctifs urgents par le prestataire qui gère déjà votre serveur.
Sources primaires et méthode
Version française adaptée du briefing publié le 23 octobre. État des avis vérifié le 30 octobre 2026 ; les évolutions sont signalées comme mises à jour.
- Projet PHP : avis des 21, 23 et 26 octobre 2026.
- PHP : GHSA-w8hw-w9fx-j79w, CVE-2026-109618.
- PHP : GHSA-6wmf-4rv5-p3rp, CVE-2026-109619.
- Centre canadien : AL26-026, mise à jour 2 — 27 octobre 2026.
- CERT-FR : multiples vulnérabilités dans PHP — 21 octobre 2026, en français.
Illustration conceptuelle originale : Adido Tech Journal.
Cet article vous a-t-il été utile ?
Poser une question ou suggérer une amélioration
À lire ensuite
Vulnérabilité Brotli : que mettre à jour pour CVE-2026-111497 ?
Vérifiez les versions Brotli corrigées, les mises à jour Node.js et les paquets PHP Windows. Un guide pratique de Steven Matetcho.
Lire l’articleLa technologie utile, expliquée clairement.
Demandez les actualités du Journal par courriel. Nous prévoyons deux articles utiles par semaine.
L’envoi par courriel est en préparation. Vous pouvez suivre le flux RSS dès maintenant.