Sources internet
Comment se prémunir de la faille PHP détectée sur le Web en octobre 2026 ?
Par FranckL · Mis à jour : 23 octobre 2026 · 10 min de lecture
Ce qu'il faut retenir
- Deux vulnérabilités critiques sont concernées : CVE-2026-109618 et CVE-2026-109619 , obtenant chacune un score CVSS v4.0 de 9,2/10 .
- Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 .
- PHP indique que les installations servant des requêtes Web sont concernées, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.
- Les réglages d’atténuation peuvent réduire certains chemins d’attaque, mais la mise à jour reste la seule protection complète selon PHP.
- Les versions 8.1 et antérieures ne reçoivent plus de correctifs de sécurité officiels.
Faille PHP : de quoi parle-t-on exactement ?
Le terme « faille PHP » recouvre ici deux vulnérabilités du moteur PHP, regroupées sous le nom
PHP2Shell (CVE-2026-109618 et CVE-2026-109619).
Leur particularité tient à leur emplacement : le problème se situe dans le cœur de PHP,
et non dans un plugin WordPress, un thème, une extension PrestaShop ou une application Laravel particulière.
| CVE | Mécanisme | Conséquence |
|---|---|---|
| CVE-2026-109618 | Corruption liée à une situation d’out-of-memory (OOM) | Exécution de code à distance |
| CVE-2026-109619 | Réutilisation d’un état global devenu obsolète après libération de mémoire | Exécution de code à distance |
Dans son avis de sécurité, PHP précise que ces vulnérabilités peuvent
permettre une exécution de code à distance sans authentification.
L’éditeur considère le risque particulièrement élevé avec Apache utilisantmod_php, puisqu’une requête non authentifiée peut déclencher l’attaque
avant même l’exécution du code applicatif.
Pourquoi la faille PHP est-elle devenue urgente ?
Trois facteurs se cumulent. Les vulnérabilités touchent le cœur de PHP, elles permettent
une RCE sans authentification et des preuves de concept sont mentionnées par le CERT-FR
pour certains déploiements.
Le CERT-FR indique avoir connaissance de preuves de
concept pour des déploiements PHP spécifiques. Cette formulation ne signifie pas que
tous les serveurs PHP non corrigés ont déjà été compromis, mais justifie une réaction immédiate.
Chronologie des événements
| Date | Événement | Niveau de preuve |
|---|---|---|
| 17 octobre 2026 | Première tentative d’exploitation rapportée par Amazon avant la publication publique. | Relais presse ; à ne pas présenter comme fait indépendant établi. |
| 20 octobre 2026 | PHP annonce une prochaine mise à jour de sécurité concernant deux vulnérabilités critiques. | Vérifié auprès de PHP. |
| 21 octobre 2026 | Publication des versions PHP corrigées et de l’alerte CERTFR-2026-ALE-014. | Vérifié. |
| 22 octobre 2026 | Le CERT-FR signale connaître des preuves de concept visant certains déploiements. | Vérifié. |
| 23 octobre 2026 | PHP publie un avis complémentaire concernant session.upload_progress. | Vérifié. |
Image générée par intelligence artificielle (conformément à l’article 50 du règlement européen sur l’IA).
Quelles versions de PHP sont corrigées ?
Les versions de sécurité disponibles sont :
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Les branches anciennes demandent une attention particulière. Le CERT-FR indique que les versions PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x ne reçoivent plus de correctifs de sécurité du projet PHP. Une distribution ou un hébergeur LTS peut fournir des correctifs rétroportés : vérifiez ce point.
Le cas de PHP 8.2
PHP 8.2 bénéficie de la branche corrigée 8.2.35, mais sa fin de support est annoncée au 31 décembre 2026. Une migration vers une branche plus récente doit donc être anticipée.
Que faire immédiatement sur un serveur PHP ?
- Identifier les installations : Dressez l’inventaire des sites, API, back-offices, tâches cron et conteneurs. N’oubliez pas les logiciels tiers embarquant PHP.
- Vérifier la version réellement exécutée : Utilisez
php -vouphp-fpm -v(ou unphpinfo()temporaire). - Installer le correctif : Passez vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
- Redémarrer les services : Redémarrez PHP-FPM, Apache ou reconstruisez vos images de conteneurs.
- Contrôler après redémarrage : Vérifiez la version active effective.
- Vérifier les traces d’intrusion : Analysez les journaux et fichiers récents pour écarter une compromission antérieure.
Que faire si la mise à jour est momentanément impossible ?
PHP documente des mesures transitoires qui ne remplacent pas le correctif :
- Pour CVE-2026-109618 : Définir
memory_limit=-1viaphp_admin_value, réduirepost_max_size(8M ou 32M) et appliquer des limites sur les requêtes au niveau du proxy/serveur web. - Pour CVE-2026-109619 : Désactiver
session.upload_progress.enabled=0dansphp.iniet redémarrer les workers. Sur PHP 8.5, définirfatal_error_backtraces=0.
Quels sites et usages sont concernés ?
| Usage | Exposition à considérer | Repère |
|---|---|---|
| Site WordPress exposé à Internet | Élevée si PHP n’est pas corrigé. | Le CMS fonctionne sur PHP, qui porte la faille. |
| Boutique en ligne | Très élevée (données sensibles / SI connectés). | Cas pris en compte par Cybermalveillance.gouv.fr. |
| Appareils / Appliances IoT | Risque potentiellement invisible pour l’utilisateur final. | Vérifier les composants embarqués (ENISA). |
Le correctif suffit-il si le serveur a déjà été attaqué ?
Non. Si une exploitation a eu lieu avant la mise à jour, un attaquant peut avoir laissé des portes dérobées ou des tâches planifiées. L’approche doit associer patch, analyse des journaux, et contrôle d’intégrité.
Tableau comparatif : que faire selon la situation ?
| Situation | Action prioritaire | Protection obtenue |
|---|---|---|
| PHP 8.2.35 à 8.5.12 | Vérifier le redémarrage et la configuration active. | Correctif PHP complet appliqué. |
| PHP 8.1 ou antérieur | Isoler du réseau puis migrer vers une branche maintenue. | Aucune correction native officielle. |
| Mise à jour impossible | Appliquer les mesures d’atténuation temporaires. | Réduction de certains vecteurs uniquement. |
| Compromission suspectée | Patch + investigation forensique des logs. | Bloque les nouvelles attaques, nettoie les anciennes. |
Questions fréquentes
Qu’est-ce que PHP2Shell ?
PHP2Shell regroupe les deux vulnérabilités critiques CVE-2026-109618 et CVE-2026-109619 affectant le cœur de PHP, permettant une RCE sans authentification.
Un site WordPress est-il concerné ?
Oui, si l’hébergement tourne sur une version PHP vulnérable. La faille concerne le moteur PHP lui-même, pas WordPress.
J’ai mis à jour PHP. Dois-je faire autre chose ?
Oui : redémarrer les workers PHP-FPM, Apache ou conteneurs pour appliquer le correctif en mémoire, puis vérifier avec php -v .
Les réglages de sécurité remplacent-ils le patch ?
Non. PHP précise qu’aucun moyen d’atténuation n’est complet et que la mise à jour demeure l’unique solution sûre.
Faut-il vérifier le serveur après la mise à jour ?
Oui en cas d’exposition antérieure, pour s’assurer qu’aucune modification malveillante n’a précédé le patch.
Sources et références 2026
- PHP – Annonces et correctifs de sécurité : https://www.php.net/archive/2026.php
- ANSSI / CERT-FR – Alerte CERTFR-2026-ALE-014 : https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-014/
- Cybermalveillance.gouv.fr – Alerte PHP : https://www.cybermalveillance.gouv.fr/
- ENISA – Déclaration conjointe : https://www.enisa.europa.eu/
Votre site sur le BAB tourne-t-il sur une version de PHP sécurisée ?
Entre les mises à jour du moteur PHP, les redémarrages de workers et la vérification des serveurs, la gestion technique d’urgence peut s’avérer complexe. Si vous gérez une entreprise avec un site en PHP à Bayonne, Anglet ou Biarritz et souhaitez vous assurer que votre infrastructure est hors de danger, faisons le point.
FranckL
Webmaster · SEO · Graphiste · Cheap Site BAB
Basé à Anglet, j'accompagne depuis plus de 15 ans les artisans, commerçants et PME de Bayonne, Anglet et Biarritz sur trois leviers complémentaires : identité visuelle, site WordPress et visibilité Google.
Découvrez Cheap Site BAB →