ALERTEFaille critique dans PHP · CVE-2026-109618 · CVE-2026-109619 · 21 oct. 2026
<?doiusephp?>

TYPO3 est-il concerné par la faille de sécurité PHP ?

Oui.

TYPO3 fonctionne avec PHP : tout site TYPO3 est donc concerné tant que sa version de PHP n'est pas mise à jour.

Trouver votre version de PHP : la vue Environment du backend (pour les mainteneurs système).

Vérifiez votre site

Vous ne savez pas si votre site fonctionne avec TYPO3 ? Notre vérification gratuite recherche PHP en quelques secondes.

votresite.frVérifier →

Ce que doivent faire les propriétaires de sites TYPO3

Qui s'occupe de votre site ?

Nous vous montrerons les étapes adaptées à votre situation.

  1. 01

    Trouvez qui s'occupe de votre site

    En général, un hébergeur, un développeur ou une agence web. Pour le savoir :

    • cherchez un hébergeur ou une agence web dans vos factures et relevés bancaires
    • cherchez dans vos e-mails « hébergement », « nom de domaine » ou le nom de la personne qui a créé votre site

    C'EST FAIT QUANDvous savez qui contacter.

  2. 02

    Envoyez-leur le message ci-dessous, dès aujourd'hui

    Le message explique ce qu'il faut faire : mettre PHP à jour vers une version corrigée. Demandez-leur de vous répondre une fois que c'est fait.

    C'EST FAIT QUANDils vous ont répondu qu'ils s'en occupent.

  3. 03

    Obtenez la confirmation que c'est corrigé

    Demandez-leur de confirmer que votre site utilise désormais une version corrigée de PHP (au moins 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, selon la version utilisée). Interrogez-les aussi sur les autres sites ou systèmes qu'ils gèrent pour vous.

    C'EST FAIT QUANDvous avez cette confirmation par écrit.

  4. 04

    Vérifiez que votre site fonctionne toujours

    Ouvrez votre page d'accueil et testez le formulaire de contact, la connexion et le paiement. Si quelque chose ne fonctionne plus après le passage à une version plus récente de PHP, mettez à jour TYPO3 ainsi que ses extensions, ou demandez à votre développeur.

    C'EST FAIT QUANDvos pages importantes fonctionnent comme avant.

  5. 05

    Si la correction ne peut pas se faire aujourd'hui

    Demandez à la personne qui s'occupe de votre site d'appliquer les mesures de protection temporaires de PHP en attendant le correctif ; elles figurent dans la section pour les développeurs ci-dessous. Si ce n'est pas possible rapidement non plus, le NCSC britannique conseille d'envisager de mettre le site hors ligne : votre hébergeur peut afficher une page de maintenance en attendant.

  6. 06

    Faites vérifier que votre site n'a pas été piraté

    Demandez à votre hébergeur ou à votre développeur de le vérifier, surtout si la correction a pris plus d'un jour. Signes que vous pouvez repérer vous-même :

    • des comptes administrateur que vous ne reconnaissez pas
    • des pages, liens ou fichiers que vous n'avez pas ajoutés
    • des visiteurs redirigés vers d'autres sites
    • un avertissement dans Google comme « Ce site a peut-être été piraté »

    C'EST FAIT QUANDils ont vérifié et n'ont rien trouvé, ou ont nettoyé le site.

Envoyez ce message à votre hébergeur ou votre développeur

Copiez-le dans un e-mail ou une demande d'assistance.

Objet : URGENT – faille de sécurité critique dans PHP (CVE-2026-109618 / CVE-2026-109619)

Bonjour,

Le 21 octobre 2026, une faille de sécurité critique dans PHP a été rendue publique (CVE-2026-109618 et CVE-2026-109619). Elle peut permettre à des attaquants de prendre le contrôle d'un serveur web sans avoir à se connecter. Le CERT-FR (ANSSI) a publié une alerte à ce sujet :
https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/

Notre site fonctionne avec TYPO3, qui utilise PHP. Pourriez-vous :

1. M'indiquer quelle version de PHP utilisent notre site et tout autre système que vous gérez pour nous.
2. Passer à une version corrigée de PHP (8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récent). Si une version plus récente de PHP est nécessaire, merci de mettre d'abord à jour TYPO3 ainsi que ses extensions.
3. Si la mise à jour n'est pas possible tout de suite, appliquer les mesures de protection temporaires du projet PHP (https://www.php.net/) ou mettre le site hors ligne jusqu'à sa correction.
4. Vérifier que le serveur ne présente aucun signe de compromission.

Merci de me prévenir dès que c'est fait.

Cordialement,
Pour votre développeur ou votre hébergeur : que faire, étape par étape+
  1. 1.

    Repérer toutes les installations de PHP qui servent un site

    Vérifiez la version de PHP qu'utilise le serveur web, pas seulement celle de la ligne de commande : php -v dans un terminal peut afficher une autre version. Incluez toutes les façons dont PHP tourne derrière un site (PHP-FPM derrière Nginx ou Apache, le mod_php intégré à Apache, LiteSpeed, FrankenPHP), sans oublier les conteneurs, les sites de préproduction et les autres serveurs.

  2. 2.

    Mettre à jour vers une version corrigée

    Corrigé dans 8.5.12, 8.4.27, 8.3.36 et 8.2.35 (une par version maintenue). Utilisez les paquets de votre système d'exploitation, une image de base de conteneur plus récente ou le panneau de votre hébergement. PHP 8.1 et les versions antérieures ne reçoivent plus de correctifs : passez à une version maintenue.

  3. 3.

    Redémarrer PHP

    Redémarrez PHP-FPM, Apache ou LiteSpeed après la mise à jour. Les processus déjà lancés gardent l'ancien code vulnérable jusqu'à leur redémarrage.

  4. 4.

    Vérifier que le correctif est bien actif

    Confirmez la version qu'exécute le site lui-même, par exemple avec une page phpinfo() temporaire que vous supprimez ensuite. Certaines distributions Linux corrigent les failles sans changer le numéro de version : dans ce cas, vérifiez que le journal des modifications du paquet mentionne CVE-2026-109618 et CVE-2026-109619.

  5. 5.

    Mise à jour impossible pour l'instant ? Appliquer les réglages temporaires

    php.net liste des réglages temporaires qui réduisent le risque en attendant la mise à jour. Entre autres : définir memory_limit=-1 dans la configuration du serveur pour que les scripts ne puissent pas le modifier (cela évite la saturation de mémoire sur laquelle repose l'attaque ; surveillez la consommation de mémoire), abaisser les limites de taille des requêtes et des envois de fichiers, et définir session.upload_progress.enabled=0. Redémarrez ensuite PHP. Ces réglages réduisent le risque, mais ne remplacent pas la mise à jour.

  6. 6.

    Rechercher des signes d'intrusion

    Cherchez les fichiers PHP ajoutés ou modifiés depuis le 21 octobre 2026, les comptes administrateur que personne ne reconnaît, les nouvelles tâches planifiées (cron), les processus ou connexions sortantes inattendus, et les erreurs de mémoire insuffisante (out of memory) dans les journaux PHP. Si quelque chose semble anormal : restaurez une sauvegarde saine, changez tous les mots de passe et clés (y compris ceux des bases de données) et prévenez le propriétaire du site.

  7. 7.

    Ensuite : ne plus afficher la version de PHP

    Définissez expose_php = Off, pour que les réponses n'incluent plus d'en-tête X-Powered-By: PHP/… qui indique aux attaquants quelle version vous utilisez.

Gravité : 9,2 sur 10 (CVSS 4.0). CVE-2026-109618 (exécution de code à distance par corruption liée à l'épuisement de la mémoire) · CVE-2026-109619 (exécution de code à distance par un état global obsolète)

Bon à savoir

  • Les mainteneurs système peuvent voir la version de PHP dans la vue Environment du backend (sous System dans TYPO3 14). Source ↗
  • TYPO3 14 fonctionne avec PHP 8.2 à 8.5. Vérifiez avec votre développeur quelles versions de PHP votre version de TYPO3 prend en charge avant de passer à une version plus récente. Source ↗

Questions et réponses

Mettre à jour TYPO3 corrige-t-il la faille de sécurité PHP ?

Le correctif se trouve dans PHP lui-même, qui fonctionne sous le logiciel de votre site. Mettre à jour le logiciel et ses modules est une bonne pratique, mais ne corrige pas cette faille : PHP doit aussi être mis à jour.

Comment voir quelle version de PHP utilise mon site TYPO3 ?

Les mainteneurs système peuvent ouvrir la vue Environment dans le backend. Sinon, demandez à votre développeur ou à votre agence.

Qui met à jour PHP pour mon site TYPO3 ?

Votre hébergeur ou l'agence qui maintient votre site. Les sites TYPO3 sont généralement gérés par une agence.

Plus : Comment savoir si votre site utilise PHP · La faille de sécurité PHP d'octobre 2026 expliquée

Autres plateformes : WordPress · WooCommerce · Joomla · Drupal · Magento · PrestaShop · Shopify · Wix · Squarespace

SOURCES