ALERTEFaille critique dans PHP · CVE-2026-109618 · CVE-2026-109619 · 21 oct. 2026
<?doiusephp?>

WooCommerce est-il concerné par la faille de sécurité PHP ?

Oui.

WooCommerce est une extension WordPress, donc elle fonctionne avec PHP : toute boutique WooCommerce sur son propre hébergement est concernée tant que PHP n'est pas mis à jour. Sur WordPress.com, PHP est géré pour vous.

Trouver votre version de PHP : WooCommerce → État, dans la section Environnement serveur.

Vérifiez votre site

Vous ne savez pas si votre site fonctionne avec WooCommerce ? Notre vérification gratuite recherche PHP en quelques secondes.

votresite.frVérifier →

Ce que doivent faire les propriétaires de sites WooCommerce

Qui s'occupe de votre site ?

Nous vous montrerons les étapes adaptées à votre situation.

  1. 01

    Trouvez qui s'occupe de votre site

    En général, un hébergeur, un développeur ou une agence web. Pour le savoir :

    • cherchez un hébergeur ou une agence web dans vos factures et relevés bancaires
    • cherchez dans vos e-mails « hébergement », « nom de domaine » ou le nom de la personne qui a créé votre site

    C'EST FAIT QUANDvous savez qui contacter.

  2. 02

    Envoyez-leur le message ci-dessous, dès aujourd'hui

    Le message explique ce qu'il faut faire : mettre PHP à jour vers une version corrigée. Demandez-leur de vous répondre une fois que c'est fait.

    C'EST FAIT QUANDils vous ont répondu qu'ils s'en occupent.

  3. 03

    Obtenez la confirmation que c'est corrigé

    Demandez-leur de confirmer que votre site utilise désormais une version corrigée de PHP (au moins 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, selon la version utilisée). Interrogez-les aussi sur les autres sites ou systèmes qu'ils gèrent pour vous.

    C'EST FAIT QUANDvous avez cette confirmation par écrit.

  4. 04

    Vérifiez que votre site fonctionne toujours

    Ouvrez votre page d'accueil et testez le formulaire de contact, la connexion et le paiement. Si quelque chose ne fonctionne plus après le passage à une version plus récente de PHP, mettez à jour WooCommerce ainsi que ses extensions et son thème, ou demandez à votre développeur.

    C'EST FAIT QUANDvos pages importantes fonctionnent comme avant.

  5. 05

    Si la correction ne peut pas se faire aujourd'hui

    Demandez à la personne qui s'occupe de votre site d'appliquer les mesures de protection temporaires de PHP en attendant le correctif ; elles figurent dans la section pour les développeurs ci-dessous. Si ce n'est pas possible rapidement non plus, le NCSC britannique conseille d'envisager de mettre le site hors ligne : votre hébergeur peut afficher une page de maintenance en attendant.

  6. 06

    Faites vérifier que votre site n'a pas été piraté

    Demandez à votre hébergeur ou à votre développeur de le vérifier, surtout si la correction a pris plus d'un jour. Signes que vous pouvez repérer vous-même :

    • des comptes administrateur que vous ne reconnaissez pas
    • des pages, liens ou fichiers que vous n'avez pas ajoutés
    • des visiteurs redirigés vers d'autres sites
    • un avertissement dans Google comme « Ce site a peut-être été piraté »

    C'EST FAIT QUANDils ont vérifié et n'ont rien trouvé, ou ont nettoyé le site.

Envoyez ce message à votre hébergeur ou votre développeur

Copiez-le dans un e-mail ou une demande d'assistance.

Objet : URGENT – faille de sécurité critique dans PHP (CVE-2026-109618 / CVE-2026-109619)

Bonjour,

Le 21 octobre 2026, une faille de sécurité critique dans PHP a été rendue publique (CVE-2026-109618 et CVE-2026-109619). Elle peut permettre à des attaquants de prendre le contrôle d'un serveur web sans avoir à se connecter. Le CERT-FR (ANSSI) a publié une alerte à ce sujet :
https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/

Notre site fonctionne avec WooCommerce, qui utilise PHP. Pourriez-vous :

1. M'indiquer quelle version de PHP utilisent notre site et tout autre système que vous gérez pour nous.
2. Passer à une version corrigée de PHP (8.5.12, 8.4.27, 8.3.36, 8.2.35 ou plus récent). Si une version plus récente de PHP est nécessaire, merci de mettre d'abord à jour WooCommerce ainsi que ses extensions et son thème.
3. Si la mise à jour n'est pas possible tout de suite, appliquer les mesures de protection temporaires du projet PHP (https://www.php.net/) ou mettre le site hors ligne jusqu'à sa correction.
4. Vérifier que le serveur ne présente aucun signe de compromission.

Merci de me prévenir dès que c'est fait.

Cordialement,
Pour votre développeur ou votre hébergeur : que faire, étape par étape+
  1. 1.

    Repérer toutes les installations de PHP qui servent un site

    Vérifiez la version de PHP qu'utilise le serveur web, pas seulement celle de la ligne de commande : php -v dans un terminal peut afficher une autre version. Incluez toutes les façons dont PHP tourne derrière un site (PHP-FPM derrière Nginx ou Apache, le mod_php intégré à Apache, LiteSpeed, FrankenPHP), sans oublier les conteneurs, les sites de préproduction et les autres serveurs.

  2. 2.

    Mettre à jour vers une version corrigée

    Corrigé dans 8.5.12, 8.4.27, 8.3.36 et 8.2.35 (une par version maintenue). Utilisez les paquets de votre système d'exploitation, une image de base de conteneur plus récente ou le panneau de votre hébergement. PHP 8.1 et les versions antérieures ne reçoivent plus de correctifs : passez à une version maintenue.

  3. 3.

    Redémarrer PHP

    Redémarrez PHP-FPM, Apache ou LiteSpeed après la mise à jour. Les processus déjà lancés gardent l'ancien code vulnérable jusqu'à leur redémarrage.

  4. 4.

    Vérifier que le correctif est bien actif

    Confirmez la version qu'exécute le site lui-même, par exemple avec une page phpinfo() temporaire que vous supprimez ensuite. Certaines distributions Linux corrigent les failles sans changer le numéro de version : dans ce cas, vérifiez que le journal des modifications du paquet mentionne CVE-2026-109618 et CVE-2026-109619.

  5. 5.

    Mise à jour impossible pour l'instant ? Appliquer les réglages temporaires

    php.net liste des réglages temporaires qui réduisent le risque en attendant la mise à jour. Entre autres : définir memory_limit=-1 dans la configuration du serveur pour que les scripts ne puissent pas le modifier (cela évite la saturation de mémoire sur laquelle repose l'attaque ; surveillez la consommation de mémoire), abaisser les limites de taille des requêtes et des envois de fichiers, et définir session.upload_progress.enabled=0. Redémarrez ensuite PHP. Ces réglages réduisent le risque, mais ne remplacent pas la mise à jour.

  6. 6.

    Rechercher des signes d'intrusion

    Cherchez les fichiers PHP ajoutés ou modifiés depuis le 21 octobre 2026, les comptes administrateur que personne ne reconnaît, les nouvelles tâches planifiées (cron), les processus ou connexions sortantes inattendus, et les erreurs de mémoire insuffisante (out of memory) dans les journaux PHP. Si quelque chose semble anormal : restaurez une sauvegarde saine, changez tous les mots de passe et clés (y compris ceux des bases de données) et prévenez le propriétaire du site.

  7. 7.

    Ensuite : ne plus afficher la version de PHP

    Définissez expose_php = Off, pour que les réponses n'incluent plus d'en-tête X-Powered-By: PHP/… qui indique aux attaquants quelle version vous utilisez.

Gravité : 9,2 sur 10 (CVSS 4.0). CVE-2026-109618 (exécution de code à distance par corruption liée à l'épuisement de la mémoire) · CVE-2026-109619 (exécution de code à distance par un état global obsolète)

Bon à savoir

  • Allez dans WooCommerce → État dans votre tableau de bord. La section Environnement serveur du rapport d'état du système indique votre version de PHP. Source ↗
  • WooCommerce nécessite PHP 8.3 ou plus récent. Source ↗
  • Les boutiques sur WordPress.com, y compris avec l'offre Commerce, n'ont rien à faire : WordPress.com corrige PHP lui-même. Source ↗

Questions et réponses

Mettre à jour WooCommerce corrige-t-il la faille de sécurité PHP ?

Le correctif se trouve dans PHP lui-même, qui fonctionne sous le logiciel de votre site. Mettre à jour le logiciel et ses modules est une bonne pratique, mais ne corrige pas cette faille : PHP doit aussi être mis à jour.

Les données de mes clients sont-elles en danger ?

La faille peut permettre à des attaquants de prendre le contrôle du serveur de votre boutique, ce qui pourrait exposer les commandes et les données clients. C'est pourquoi PHP doit être mis à jour rapidement, et le serveur vérifié ensuite pour s'assurer qu'il n'a pas été piraté.

Qui met à jour PHP pour ma boutique ?

Votre hébergeur, ou le développeur ou l'agence qui gère votre boutique. Envoyez-leur le message de cette page.

Plus : Comment savoir si votre site utilise PHP · La faille de sécurité PHP d'octobre 2026 expliquée

Autres plateformes : WordPress · Joomla · Drupal · Magento · PrestaShop · TYPO3 · Shopify · Wix · Squarespace

SOURCES