ALERTEFaille critique dans PHP · CVE-2026-109618 · CVE-2026-109619 · 21 oct. 2026
<?doiusephp?>

Drupal est-il concerné par la faille de sécurité PHP ?

Oui.

Drupal fonctionne avec PHP : tout site Drupal est donc concerné tant que sa version de PHP n'est pas mise à jour.

Trouver votre version de PHP : Reports → Status report.

Vérifiez votre site

Vous ne savez pas si votre site fonctionne avec Drupal ? Notre vérification gratuite recherche PHP en quelques secondes.

votresite.frVérifier →

Ce que doivent faire les propriétaires de sites Drupal

Qui s'occupe de votre site ?

Nous vous montrerons les étapes adaptées à votre situation.

  1. 01

    Trouvez qui s'occupe de votre site

    En général, un hébergeur, un développeur ou une agence web. Pour le savoir :

    • cherchez un hébergeur ou une agence web dans vos factures et relevés bancaires
    • cherchez dans vos e-mails « hébergement », « nom de domaine » ou le nom de la personne qui a créé votre site

    C'EST FAIT QUANDvous savez qui contacter.

  2. 02

    Envoyez-leur le message ci-dessous, dès aujourd'hui

    Le message explique ce qu'il faut faire : mettre PHP à jour vers une version corrigée. Demandez-leur de vous répondre une fois que c'est fait.

    C'EST FAIT QUANDils vous ont répondu qu'ils s'en occupent.

  3. 03

    Obtenez la confirmation que c'est corrigé

    Demandez-leur de confirmer que votre site utilise désormais une version corrigée de PHP (au moins 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, selon la version utilisée). Interrogez-les aussi sur les autres sites ou systèmes qu'ils gèrent pour vous.

    C'EST FAIT QUANDvous avez cette confirmation par écrit.

  4. 04

    Vérifiez que votre site fonctionne toujours

    Ouvrez votre page d'accueil et testez le formulaire de contact, la connexion et le paiement. Si quelque chose ne fonctionne plus après le passage à une version plus récente de PHP, mettez à jour Drupal ainsi que ses modules, ou demandez à votre développeur.

    C'EST FAIT QUANDvos pages importantes fonctionnent comme avant.

  5. 05

    Si la correction ne peut pas se faire aujourd'hui

    Demandez à la personne qui s'occupe de votre site d'appliquer les mesures de protection temporaires de PHP en attendant le correctif ; elles figurent dans la section pour les développeurs ci-dessous. Si ce n'est pas possible rapidement non plus, le NCSC britannique conseille d'envisager de mettre le site hors ligne : votre hébergeur peut afficher une page de maintenance en attendant.

  6. 06

    Faites vérifier que votre site n'a pas été piraté

    Demandez à votre hébergeur ou à votre développeur de le vérifier, surtout si la correction a pris plus d'un jour. Signes que vous pouvez repérer vous-même :

    • des comptes administrateur que vous ne reconnaissez pas
    • des pages, liens ou fichiers que vous n'avez pas ajoutés
    • des visiteurs redirigés vers d'autres sites
    • un avertissement dans Google comme « Ce site a peut-être été piraté »

    C'EST FAIT QUANDils ont vérifié et n'ont rien trouvé, ou ont nettoyé le site.

Envoyez ce message à votre hébergeur ou votre développeur

Copiez-le dans un e-mail ou une demande d'assistance.

Objet : URGENT – faille de sécurité critique dans PHP (CVE-2026-109618 / CVE-2026-109619)

Bonjour,

Le 21 octobre 2026, une faille de sécurité critique dans PHP a été rendue publique (CVE-2026-109618 et CVE-2026-109619). Elle peut permettre à des attaquants de prendre le contrôle d'un serveur web sans avoir à se connecter. Le CERT-FR (ANSSI) a publié une alerte à ce sujet :
https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/

Notre site fonctionne avec Drupal, qui utilise PHP. Pourriez-vous :

1. M'indiquer quelle version de PHP utilisent notre site et tout autre système que vous gérez pour nous.
2. Passer à une version corrigée de PHP (8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récent). Si une version plus récente de PHP est nécessaire, merci de mettre d'abord à jour Drupal ainsi que ses modules.
3. Si la mise à jour n'est pas possible tout de suite, appliquer les mesures de protection temporaires du projet PHP (https://www.php.net/) ou mettre le site hors ligne jusqu'à sa correction.
4. Vérifier que le serveur ne présente aucun signe de compromission.

Merci de me prévenir dès que c'est fait.

Cordialement,
Pour votre développeur ou votre hébergeur : que faire, étape par étape+
  1. 1.

    Repérer toutes les installations de PHP qui servent un site

    Vérifiez la version de PHP qu'utilise le serveur web, pas seulement celle de la ligne de commande : php -v dans un terminal peut afficher une autre version. Incluez toutes les façons dont PHP tourne derrière un site (PHP-FPM derrière Nginx ou Apache, le mod_php intégré à Apache, LiteSpeed, FrankenPHP), sans oublier les conteneurs, les sites de préproduction et les autres serveurs.

  2. 2.

    Mettre à jour vers une version corrigée

    Corrigé dans 8.5.12, 8.4.27, 8.3.36 et 8.2.35 (une par version maintenue). Utilisez les paquets de votre système d'exploitation, une image de base de conteneur plus récente ou le panneau de votre hébergement. PHP 8.1 et les versions antérieures ne reçoivent plus de correctifs : passez à une version maintenue.

  3. 3.

    Redémarrer PHP

    Redémarrez PHP-FPM, Apache ou LiteSpeed après la mise à jour. Les processus déjà lancés gardent l'ancien code vulnérable jusqu'à leur redémarrage.

  4. 4.

    Vérifier que le correctif est bien actif

    Confirmez la version qu'exécute le site lui-même, par exemple avec une page phpinfo() temporaire que vous supprimez ensuite. Certaines distributions Linux corrigent les failles sans changer le numéro de version : dans ce cas, vérifiez que le journal des modifications du paquet mentionne CVE-2026-109618 et CVE-2026-109619.

  5. 5.

    Mise à jour impossible pour l'instant ? Appliquer les réglages temporaires

    php.net liste des réglages temporaires qui réduisent le risque en attendant la mise à jour. Entre autres : définir memory_limit=-1 dans la configuration du serveur pour que les scripts ne puissent pas le modifier (cela évite la saturation de mémoire sur laquelle repose l'attaque ; surveillez la consommation de mémoire), abaisser les limites de taille des requêtes et des envois de fichiers, et définir session.upload_progress.enabled=0. Redémarrez ensuite PHP. Ces réglages réduisent le risque, mais ne remplacent pas la mise à jour.

  6. 6.

    Rechercher des signes d'intrusion

    Cherchez les fichiers PHP ajoutés ou modifiés depuis le 21 octobre 2026, les comptes administrateur que personne ne reconnaît, les nouvelles tâches planifiées (cron), les processus ou connexions sortantes inattendus, et les erreurs de mémoire insuffisante (out of memory) dans les journaux PHP. Si quelque chose semble anormal : restaurez une sauvegarde saine, changez tous les mots de passe et clés (y compris ceux des bases de données) et prévenez le propriétaire du site.

  7. 7.

    Ensuite : ne plus afficher la version de PHP

    Définissez expose_php = Off, pour que les réponses n'incluent plus d'en-tête X-Powered-By: PHP/… qui indique aux attaquants quelle version vous utilisez.

Gravité : 9,2 sur 10 (CVSS 4.0). CVE-2026-109618 (exécution de code à distance par corruption liée à l'épuisement de la mémoire) · CVE-2026-109619 (exécution de code à distance par un état global obsolète)

Bon à savoir

  • Dans l'administration de Drupal, la page Reports → Status report comporte une section PHP et vous avertit quand votre version de PHP est trop ancienne. Source ↗
  • Chaque version de Drupal prend en charge certaines versions de PHP (par exemple, Drupal 11.3 et 11.4 fonctionnent avec PHP 8.3 à 8.5). Vérifiez ce point avec votre développeur avant de passer à une version plus récente de PHP. Source ↗

Questions et réponses

Mettre à jour Drupal corrige-t-il la faille de sécurité PHP ?

Le correctif se trouve dans PHP lui-même, qui fonctionne sous le logiciel de votre site. Mettre à jour le logiciel et ses modules est une bonne pratique, mais ne corrige pas cette faille : PHP doit aussi être mis à jour.

Comment voir quelle version de PHP utilise mon site Drupal ?

Allez dans Reports → Status report dans l'administration. Sa section PHP donne les informations sur PHP, avec un lien vers le détail complet.

Qui met à jour PHP pour mon site Drupal ?

Votre hébergeur, ou le développeur ou l'agence qui maintient votre site. Les sites Drupal sont souvent gérés par une agence.

Plus : Comment savoir si votre site utilise PHP · La faille de sécurité PHP d'octobre 2026 expliquée

Autres plateformes : WordPress · WooCommerce · Joomla · Magento · PrestaShop · TYPO3 · Shopify · Wix · Squarespace

SOURCES