La faille de sécurité PHP d'octobre 2026 expliquée

Ce qui s'est passé

Deux failles ont été découvertes dans PHP lui-même (CVE-2026-109618 et CVE-2026-109619). En envoyant une requête spécialement conçue, un attaquant peut faire exécuter son propre code par le serveur d'un site, sans se connecter. Concrètement, il peut prendre le contrôle du serveur : modifier le site, voler des données ou s'en servir pour attaquer d'autres cibles.

Qui est concerné

• Tous les sites qui fonctionnent avec PHP, quelle que soit leur version de PHP, tant qu'ils ne sont pas mis à jour vers une version corrigée. Cela inclut la plupart des sites WordPress, Joomla, Drupal, Magento et PrestaShop.
• Pas votre site lui-même s'il a été conçu avec un créateur de sites hébergé qui n'utilise pas PHP, comme Shopify, Wix ou Squarespace. D'autres systèmes que vous utilisez peuvent toutefois être concernés.
• D'autres logiciels aussi : certains équipements, intranets et applications métier intègrent PHP. Le NCSC néerlandais tient une liste des produits concernés.

Vous avez un doute sur votre site ? Voici comment vérifier, ou lancez notre vérification gratuite.

Que faire maintenant

Le NCSC britannique conseille, dans cet ordre :

1. Mettre PHP à jour vers une version corrigée. C'est en général votre hébergeur, votre développeur ou votre agence qui s'en charge.
2. Si la mise à jour n'est pas encore possible, appliquer les mesures de protection temporaires publiées par le projet PHP.
3. Si ni l'un ni l'autre n'est possible, envisager de mettre le site hors ligne jusqu'à sa correction.
4. Rechercher des signes d'intrusion, surtout si la mise à jour a pris du temps.
5. Surveiller les mises à jour des éditeurs des autres logiciels et équipements que vous utilisez.

Quelles versions de PHP sont corrigées

• PHP 8.5 : corrigé à partir de 8.5.12
• PHP 8.4 : corrigé à partir de 8.4.27
• PHP 8.3 : corrigé à partir de 8.3.36
• PHP 8.2 : corrigé à partir de 8.2.35

PHP 8.1 et les versions antérieures ne reçoivent plus aucun correctif de sécurité. Les sites qui les utilisent doivent passer à une version maintenue, ce qui demande plus de tests qu'une mise à jour ordinaire : commencez dès aujourd'hui.

Pour les développeurs

Toutes les façons d'exécuter PHP pour des sites web sont concernées (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed) ; mod_php présente le risque le plus élevé. Si vous ne pouvez pas appliquer le correctif immédiatement, php.net liste des mesures d'atténuation temporaires, notamment imposer au niveau administrateur memory_limit=-1, resserrer les limites sur les requêtes et les envois multipart, et session.upload_progress.enabled=0. Elles réduisent le risque, mais ne remplacent pas la mise à jour.