Failles PHP CVE-2026-109618 et CVE-2026-109619 : votre site ou votre hébergeur est-il à jour ?

É
Équipe Privious
Veille Cybersécurité
· publié le
7 min de lecture

Le 21 octobre 2026, le projet PHP a corrigé deux failles critiques qui permettent à un attaquant non authentifié d'exécuter du code sur un serveur. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Si vous gérez un site en PHP, vérifiez votre version ou demandez à votre hébergeur s'il a appliqué le correctif.

Ce qui s'est passé

Le 20 octobre 2026, le projet PHP a annoncé une mise à jour de sécurité pour deux vulnérabilités critiques. Les correctifs sont sortis le 21 octobre 2026. Selon PHP, ces failles peuvent permettre une exécution de code à distance sans authentification. Le Centre canadien pour la cybersécurité indique qu'elles sont surnommées « php2shell ».

Le même jour, la Commission européenne, l'ENISA, le CERT-EU, Europol (EC3) et le réseau des CSIRT nationaux de l'UE ont publié une déclaration commune. Ils demandent aux organisations d'agir immédiatement. En France, le CERT-FR a publié une alerte (CERTFR-2026-ALE-014) et un avis (CERTFR-2026-AVI-1359).

Les deux failles en bref

  • CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) : un manque de mémoire peut interrompre PHP alors que des données internes de la requête ne sont que partiellement initialisées. Le nettoyage de la requête peut ensuite traiter ces données invalides comme valides, ce qui corrompt la mémoire.
  • CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp) : un état interne lié à une requête peut survivre après la libération de sa mémoire. Une requête suivante traitée par le même processus peut alors utiliser cet état périmé.

Quelle gravité ? Les scores varient selon les sources

Les sources officielles ne donnent pas toutes le même score :

  • Projet PHP (annonce du 20/10/2026) : CVSS v4.0 9,2 pour les deux failles.
  • CVE.org (fiches des deux CVE, mises à jour le 21/10/2026) : CVSS v4.0 9,2, « critique ».
  • OFCS, Office fédéral suisse de la cybersécurité (21/10/2026) : CVSS 4.0 9,2, « critique », pour chacune des deux failles.
  • CERT Santé (21/10/2026) : CVSS v3.1 8,1 pour CVE-2026-109618.

Selon la PHP Foundation, un score erroné de 10,0 a circulé sur des forums et réseaux sociaux le 20 octobre ; le score réel est 9,2.

Au 21 octobre 2026, le CERT Santé indique que la faille n'est pas activement exploitée et qu'une preuve de concept est disponible en sources ouvertes. Le Centre canadien pour la cybersécurité fait le même constat : une preuve de concept circule, sans exploitation active identifiée à ce stade, une situation qui peut évoluer vite.

Qui est concerné ?

Selon PHP, toutes les installations qui servent des requêtes web sont exposées : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le projet PHP juge le risque le plus élevé avec mod_php : une requête non authentifiée peut y déclencher l'attaque avant l'exécution du code de l'application.

Versions affectées, selon le CERT-FR :

  • PHP 8.5.x antérieures à 8.5.12 ;
  • PHP 8.4.x antérieures à 8.4.27 ;
  • PHP 8.3.x antérieures à 8.3.36 ;
  • PHP 8.2.x antérieures à 8.2.35 ;
  • toutes les versions 8.1.x, 8.0.x, 7.x, 6.x et 5.x.

L'OFCS rappelle que PHP peut aussi tourner sans que vous le sachiez : interfaces d'administration, applications internes, conteneurs ou appareils. L'ENISA fait la même remarque pour de nombreux produits commerciaux et open source.

Les versions corrigées

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour du projet PHP. Vu la gravité, l'équipe de sécurité de PHP a tout de même fourni des correctifs minimaux pour PHP 7.4, 8.0 et 8.1, destinés à ceux qui compilent PHP eux-mêmes. Certaines distributions et certains fournisseurs de support étendu proposent aussi des correctifs. PHP 8.2 arrivera en fin de vie le 31 décembre 2026.

Attention avec les distributions Linux : selon l'OFCS, un correctif peut être intégré sans que le numéro de version principal de PHP change. C'est la version exacte du paquet et le bulletin de votre distribution qui font foi.

Que faire selon votre situation

Vous avez un site WordPress ou un hébergement mutualisé

  1. Regardez la version de PHP dans le panneau de votre hébergeur.
  2. Demandez à votre hébergeur s'il a appliqué le correctif du 21 octobre 2026. L'OFCS recommande de se faire confirmer la correction par l'hébergeur.
  3. Si votre site tourne en PHP 8.1 ou plus ancien, demandez une migration vers une version maintenue.

Vous gérez votre propre serveur

Le guide de l'auto-hébergement rappelle comment garder la main sur un serveur que l'on administre soi-même. Pour ces failles :

  1. Mettez à jour PHP vers la version corrigée de votre branche, ou installez le paquet corrigé de votre distribution.
  2. Redémarrez tous les services et processus PHP (workers PHP-FPM, Apache). Reconstruisez et redéployez vos conteneurs si besoin.
  3. Vérifiez que l'application en production utilise bien la version corrigée.
  4. Examinez vos journaux à la recherche de requêtes inhabituelles, de plantages, de fichiers modifiés ou de processus inattendus. Comme le rappelle l'OFCS, une mise à jour ne répare pas une compromission déjà survenue.
  5. Recensez les produits tiers qui embarquent PHP. L'ENISA renvoie vers la liste tenue par le NCSC néerlandais sur GitHub (NCSC-NL/php2shell). Pour la suite, un guide explique comment trier les alertes de vulnérabilités.

Vous ne pouvez pas mettre à jour tout de suite

Le CERT-FR recommande d'isoler les équipements affectés. Le projet PHP, le CERT-FR et le CERT Santé décrivent des mesures provisoires, par exemple désactiver session.upload_progress.enabled, limiter post_max_size ou bloquer les requêtes multipart au niveau d'un pare-feu applicatif. Ces mesures sont partielles : elles ne couvrent que certaines voies d'attaque et ne rendent pas l'installation sûre. Le CERT-FR précise qu'elles ne sont pas qualifiées par ses soins, et l'OFCS ajoute qu'un pare-feu applicatif seul ne suffit pas. Seule la mise à jour corrige les failles.

Vous visitez simplement des sites web

Vous n'avez rien à installer : la faille se trouve sur les serveurs, pas sur votre appareil. Ce n'est pas le même cas que la faille V8 de Chrome, qui touchait les navigateurs. Restez prudent face à un site connu qui se comporte de façon inhabituelle (redirections, téléchargements imprévus, demandes d'identifiants). Si un site que vous utilisez annonce ensuite une fuite, voici que faire après une fuite de données.

FAQ

Les failles PHP CVE-2026-109618 et CVE-2026-109619 sont-elles exploitées ?

Au 21 octobre 2026, le CERT Santé et le Centre canadien pour la cybersécurité n'ont pas identifié d'exploitation active. Une preuve de concept est toutefois disponible publiquement, ce qui peut accélérer les attaques.

Quelle version de PHP installer ?

La version corrigée de votre branche : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou le paquet corrigé fourni par votre distribution Linux.

Mon site sous PHP 7.4 ou 8.1 est-il protégé ?

Non, pas sans action. Ces versions ne sont plus maintenues par le projet PHP. Des correctifs minimaux existent pour 7.4, 8.0 et 8.1, mais la solution durable est de passer à une version maintenue.

Pourquoi les scores de gravité sont-ils différents ?

Les organismes n'utilisent pas tous la même version du barème CVSS. Le projet PHP, CVE.org et l'OFCS donnent 9,2 en CVSS v4.0 ; le CERT Santé donne 8,1 en CVSS v3.1 pour CVE-2026-109618.

Un VPN me protège-t-il contre ces failles ?

Non. Les failles touchent les serveurs qui exécutent PHP. Seule la mise à jour de ces serveurs les corrige.

Vous pouvez suivre les alertes cyber sur Privious.

Sources (consultées le 22/10/2026)

É

Auteur

Équipe Privious

Veille Cybersécurité

"La vie privée n'est pas un crime, c'est une barrière contre l'arbitraire."