Failles critiques PHP : les correctifs sont disponibles

Deux vulnérabilités notées 9,2 sur 10 ont déclenché une alerte de cybersécurité et des fermetures préventives de sites en Europe. Les mises à jour de PHP sont désormais disponibles. Les propriétaires de sites WordPress doivent aussi vérifier leur hébergement.

Les correctifs attendus pour PHP ont été publiés mercredi 21 octobre 2026. L’équipe du langage annonce quatre versions de sécurité et appelle les utilisateurs à les installer immédiatement. Cette publication change la situation : il ne s’agit plus seulement de préparer une intervention, mais de déployer les mises à jour disponibles sur les serveurs concernés.

Deux failles permettant une attaque à distance

Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, les deux vulnérabilités sont évaluées à 9,2 sur 10 selon l’échelle CVSS 4.0. La PHP Foundation confirme qu’elles peuvent, dans certaines conditions, permettre à une personne non authentifiée d’exécuter du code sur un serveur utilisant PHP. Un attaquant n’a donc pas nécessairement besoin d’un compte sur le site visé.

Le risque concerne les installations de PHP qui traitent des requêtes web. Selon l’équipe du projet, la configuration Apache avec le module « mod_php » présente le risque le plus élevé. Cela ne signifie pas que toutes les installations ont été piratées, mais qu’un serveur exposé doit faire l’objet d’une vérification rapide.

Quelles versions installer ?

Les versions corrigées annoncées sont les suivantes :

• PHP 8.2 : version 8.2.35 ;
• PHP 8.3 : version 8.3.36 ;
• PHP 8.4 : version 8.4.27 ;
• PHP 8.5 : version 8.5.12.

Le CERT-FR confirme la disponibilité des correctifs et identifie comme affectées les versions antérieures dans ces branches, ainsi que les anciennes générations de PHP.

PHP 8.1 et les versions plus anciennes ne bénéficient plus du support habituel du projet. Des distributions ou prestataires de maintenance peuvent fournir des correctifs adaptés. Les exploitants concernés doivent vérifier ce point auprès de leur fournisseur ou migrer vers une version maintenue et corrigée. Le simple numéro de branche ne suffit pas à confirmer la protection.

Pourquoi WordPress est aussi concerné

PHP est l’un des fondements de WordPress. Sa version est gérée sur le serveur d’hébergement : mettre à jour WordPress, un thème ou une extension ne prouve donc pas que PHP a été corrigé.

Pour les indépendants, associations, commerçants ou entreprises belges qui utilisent WordPress, la démarche consiste à contacter l’hébergeur ou le prestataire responsable du serveur. Il faut lui demander de confirmer l’application du correctif et la compatibilité de la version retenue avec le site. La documentation de WordPress recommande également une sauvegarde et une vérification de compatibilité avant un changement de version PHP.

Des sites européens fermés par précaution

Le gouvernement néerlandais a confirmé avoir temporairement retiré plusieurs sites du réseau, notamment des services publics, par mesure préventive. Son communiqué précisait alors qu’aucun signe d’exploitation active n’avait été observé par ses services.

Reuters rapporte aussi des fermetures préventives en Finlande. L’agence relaie le signalement de premières attaques par le directeur technique de Cloudflare. Ces signalements ne permettent pas de conclure que les sites mis hors ligne ont été compromis.

Une protection temporaire ne remplace pas le correctif

Le CERT-EU recommande de corriger les installations sans attendre. Si cela n’est pas immédiatement possible, l’organisme invite à envisager l’isolement des applications exposées à Internet jusqu’à l’installation et à la vérification du correctif. Les mesures provisoires réduisent certains risques, mais seule la mise à jour apporte une correction complète de ces vulnérabilités.