L’info
Le projet PHP a publié le 21 octobre 2026 les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619. Selon PHP, chacune peut permettre à un attaquant d'exécuter son propre code sur un serveur web sans se connecter. Toutes deux sont notées 9,2 sur 10, et le projet avait annoncé la veille qu'une mise à jour critique arrivait.
PHP est le langage de programmation sur lequel reposent WordPress, WooCommerce, Laravel et bien d'autres systèmes de sites web. L'équipe de sécurité de PHP indique que toute installation de PHP qui sert des pages web est exposée. Le risque est le plus élevé sur les serveurs qui font tourner PHP dans Apache avec mod_php, où l'équipe a montré qu'une seule requête suffit à lancer l'attaque avant même que le code du site ne s'exécute. PHP précise que seule une mise à jour règle complètement le problème, les changements de configuration ne faisant que réduire le risque.
PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour officielles. Certains éditeurs Linux proposent des paquets corrigés, et l'équipe PHP a publié des correctifs de base pour les versions 7.4, 8.0 et 8.1 à l'intention de ceux qui compilent PHP eux-mêmes. Le CERT-EU, le service de cybersécurité des institutions de l'UE, a indiqué le 23 octobre que de premiers codes d'attaque circulent, ce qui rend plus probable une exploitation déjà en cours.
Mise à jour du 27 octobre : les failles sont désormais utilisées dans de vraies attaques. Un chercheur en sécurité a observé une attaque réussie contre un serveur piège équipé de PHP 8.4.26 dans Apache avec mod_php, et le 26 octobre la CISA, l'agence américaine de cybersécurité, a ajouté les deux failles à sa liste de vulnérabilités exploitées.
Le 23 octobre, PHP a également décrit un troisième problème, moins probable, qui ne touche que des configurations inhabituelles et sera corrigé dans la prochaine version ordinaire. PHP 8.2 cesse de recevoir des correctifs de sécurité après le 31 décembre 2026.
Ce que cela change pour vous
- Si votre site ou votre boutique en ligne fonctionne avec WordPress, WooCommerce, Laravel ou un autre système en PHP, le serveur doit passer à la nouvelle version de PHP. Mettre à jour les extensions ou le thème ne suffit pas.
- Sur un hébergement mutualisé ou infogéré, l'hébergeur met généralement PHP à jour. Sur votre propre serveur ou un serveur virtuel loué, quelqu'un de votre côté doit le faire.
- Les sites encore sous PHP 8.1 ou une version antérieure n'ont pas de correctif officiel, et PHP 8.2 perd ses correctifs de sécurité après le 31 décembre 2026.
Ce qu’il faut faire
- Demandez à votre hébergeur ou à votre développeur quelle version de PHP utilise chacun de vos sites, et s'il est désormais en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou sur un paquet corrigé de l'éditeur du serveur.
- Incluez tous les systèmes en PHP que vous utilisez, comme un portail client, un système de réservation ou un outil interne, pas seulement le site principal.
- Si un système tourne encore sous PHP 8.1 ou une version antérieure, prévoyez dès maintenant le passage à une version prise en charge.
- Après la mise à jour, testez vos formulaires de contact, le paiement et les connexions.
Comment Didset peut vous aider
Nous développons et maintenons des applications web et des intégrations, et nous pouvons mettre à jour la version de PHP de votre site puis vérifier que formulaires, paiement et connexions fonctionnent toujours.
Parlons-en
