Une alerte de cybersécurité majeure concerne PHP ce mercredi 21 octobre 2026. Le langage utilisé par de très nombreux sites Internet fait l'objet de deux vulnérabilités critiques, chacune évaluée à 9,2 sur 10. Leur exploitation pourrait permettre à un attaquant d'exécuter du code à distance sur un serveur vulnérable. Le CERT-EU appelle les administrateurs à se préparer à appliquer les correctifs, dont la publication est programmée à 16h00, heure française.

Deux failles PHP critiques confirmées par PHP.net et le CERT-EU

L'information a notamment été relayée par le spécialiste en cybersécurité FrenchBreaches. Mais l'alerte ne repose pas sur de simples rumeurs : l'équipe officielle de PHP a publié, dès le 20 octobre 2026, un avis annonçant une mise à jour de sécurité exceptionnelle.

Deux vulnérabilités ont été identifiées, toutes deux assorties d'un score de 9,2 sur 10 selon la classification CVSS v4.0, correspondant à un niveau de criticité particulièrement élevé. L'équipe PHP demande aux utilisateurs de se préparer à mettre leur environnement à jour dès la publication des versions corrigées.

Le CERT-EU, organisme de réponse aux incidents de cybersécurité des institutions européennes, a également publié une alerte le 21 octobre sous la référence Security Advisory 2026-018.

Les deux vulnérabilités sont identifiées par les références suivantes :

  • CVE-2026-109618
  • CVE-2026-109619

Selon le CERT-EU, elles pourraient permettre une exécution de code à distance sans authentification préalable. Leurs détails techniques ne sont toutefois pas encore publics, ce qui empêche de déterminer précisément les conditions nécessaires à une éventuelle exploitation.

Selon notre analyse, une menace majeure pour les serveurs PHP

En tant que développeur full-stack PHP depuis maintenant 15 ans et de ma collaboration avec un administrateur système de Greenhoster, nous considérons ces deux vulnérabilités comme potentiellement parmi les plus préoccupantes rencontrées ces dernières années, je considère cette alerte comme l'une des plus préoccupantes auxquelles j'ai été confronté au cours de ma carrière. Avec deux vulnérabilités évaluées à 9,2 sur 10, les conséquences pourraient être considérables pour l'écosystème web mondial.

Le risque ne concerne pas uniquement quelques sites isolés. De nombreux outils et plateformes reposent sur PHP, notamment WordPress, Drupal, PrestaShop, Laravel ou encore Symfony. Si les versions de PHP utilisées par ces applications sont effectivement vulnérables, des millions de sites pourraient potentiellement être exposés.

Le principal danger évoqué est la possibilité d'exécuter du code à distance, sans authentification préalable. Selon la configuration du serveur et les droits disponibles, une exploitation pourrait permettre à un attaquant de compromettre l'environnement PHP et d'accéder à des ressources sensibles. Il faut toutefois attendre les détails techniques officiels pour mesurer précisément l'étendue de cette menace.

Mon conseil aux administrateurs et développeurs est de prendre cette alerte très au sérieux. Surveillez vos serveurs, préparez vos sauvegardes et appliquez les correctifs dès leur publication, programmée à 16h00 ce 21 octobre 2026. Si une mise à jour immédiate est impossible, envisagez d'isoler temporairement les applications concernées du réseau public, voire de suspendre leur exposition à Internet jusqu'à l'installation d'un correctif.

Face à un risque de cette ampleur, mieux vaut privilégier la sécurité plutôt que d'attendre qu'un incident survienne.

Une protection temporaire en attendant le correctif PHP

Selon de premières analyses, désactiver la fonctionnalité session upload progress, activée par défaut dans PHP, pourrait réduire les risques d'exploitation.

Dans le fichier php.ini, .user.ini ou les paramètres de votre hébergeur, appliquez :

session.upload_progress.enabled = Off

Rechargez ensuite PHP pour appliquer la modification. Le suivi de progression des envois sera désactivé, mais les transferts de fichiers resteront possibles.

Attention : cette mesure reste une atténuation, pas un correctif. L'installation des mises à jour officielles demeure indispensable.

Une menace potentielle pour une grande partie des sites Internet mondiaux

PHP est utilisé pour faire fonctionner de très nombreux sites et applications web. Les conséquences de ces deux failles pourraient donc être importantes, particulièrement pour les serveurs exposés à Internet et utilisant une version vulnérable du langage.

Le CERT-EU évoque la possibilité que les vulnérabilités affectent les versions de PHP allant de PHP 5+ à PHP 8.5+.

Certaines premières remontées parlent d'un impact sur 70 à 80 % du Web mondial. La proportion de sites utilisant PHP ne correspond pas nécessairement au nombre de serveurs réellement vulnérables à ces deux failles.

Le risque principal évoqué concerne la possibilité d'exécuter des instructions malveillantes à distance. En fonction de la configuration du serveur et des privilèges du processus concerné, une exploitation réussie pourrait compromettre un site ou une application. Cela ne signifie cependant pas que tous les serveurs PHP peuvent automatiquement être pris sous contrôle.

Un correctif PHP attendu à 16h00 ce 21 octobre 2026

L'équipe de sécurité PHP a officiellement fixé la publication des correctifs au mercredi 21 octobre 2026 à 16h00 en France.

Les versions corrigées devront être installées rapidement sur les environnements concernés. L'équipe PHP précise également qu'elle se réserve la possibilité d'avancer la publication en cas de divulgation des détails des vulnérabilités ou de signes d'exploitation active.

Pour les administrateurs système, développeurs et responsables de sites web, le CERT-EU recommande de préparer immédiatement les opérations de mise à jour.

Les principales mesures préconisées sont les suivantes :

  • Identifier les serveurs et applications utilisant PHP.
  • Vérifier les versions concernées dès la publication des informations officielles.
  • Appliquer rapidement les correctifs de sécurité adaptés à chaque environnement.
  • Envisager d'isoler temporairement les applications accessibles depuis Internet lorsqu'une correction immédiate est impossible.

Les modalités de mise à jour dépendent de l'hébergement utilisé. Certains fournisseurs peuvent déployer les correctifs pour leurs clients, tandis que les serveurs administrés directement nécessiteront une intervention de leur responsable. Il ne faut donc pas supposer que toutes les installations PHP seront automatiquement protégées.

Sites web et développeurs, pourquoi cette alerte doit être prise au sérieux

Cette publication anticipée est inhabituelle par son niveau d'urgence. L'équipe PHP prévient les utilisateurs avant même de dévoiler les détails techniques des vulnérabilités, afin de leur permettre de préparer leurs interventions.

Pour les entreprises, médias, boutiques en ligne et autres services reposant sur PHP, l'enjeu consiste à réduire le délai entre la publication des correctifs et leur installation effective.

À ce stade, les avis officiels fournis ne font pas état d'une exploitation active confirmée. Ils décrivent néanmoins un risque suffisamment sérieux pour justifier une préparation immédiate des équipes techniques.

La prochaine étape sera la publication des versions corrigées et des informations précises sur les environnements affectés. Les administrateurs sont invités à suivre directement les annonces de PHP.net et du CERT-EU pour adapter leurs mesures de protection.

Source