Failles critiques dans PHP (octobre 2026) : ce que vous devez faire maintenant

Le 20 octobre 2026, l'équipe de sécurité de PHP a annoncé deux vulnérabilités critiques dans le moteur PHP lui-même. Elles permettent à un attaquant d'exécuter du code à distance sur un serveur vulnérable. Des informations ont fuité avant la publication des correctifs, et les premières tentatives d'attaque sont déjà signalées.

PHP fait tourner une très large part du web : WordPress, WooCommerce, Drupal, Joomla, PrestaShop, Magento, Laravel, Symfony… Si votre site ou votre application repose sur PHP, cette alerte vous concerne directement.

Correctifs attendus le mercredi 21 octobre 2026 à 16 h, heure de Paris, soit 18 h, heure de La Réunion (14 h UTC). L'équipe PHP a indiqué qu'elle pourrait les publier plus tôt si les détails techniques devenaient publics ou si des attaques étaient confirmées.

La seule protection réelle : mettre à jour PHP dès la publication des correctifs.

Ce que l'on sait

• Deux failles : CVE-2026-109618 et CVE-2026-109619, surnommées « php2shell ».
• Gravité : critique, score CVSS v4.0 de 9,2 selon l'équipe PHP.
• Impact : exécution de code à distance, c'est-à-dire la prise de contrôle possible du serveur.
• Versions concernées : selon le CERT-FR et le CERT-EU, toutes les branches de PHP 5 à PHP 8.
• Correctifs : publication annoncée le 21 octobre 2026 à 14 h UTC (16 h à Paris, 18 h à La Réunion).
• Exploitation : des attaques ont commencé à être observées avant même la sortie des correctifs.

Le CERT-FR, centre gouvernemental de veille et d'alerte de l'ANSSI, a publié l'alerte CERTFR-2026-ALE-014. Les détails techniques n'ont pas encore été rendus publics par PHP.

Qui est concerné ?

Tout serveur qui exécute PHP et qui est accessible depuis Internet. Cela inclut les sites vitrines, les boutiques en ligne, les intranets et les applications métier.

Point important : les versions de PHP qui ne sont plus maintenues (5.x, 7.x, 8.0 et 8.1) ne recevront pas de correctif. Un site qui tourne encore sur l'une d'elles reste exposé, même après le 21 octobre.

Si votre site est sur un hébergement mutualisé, la mise à jour de PHP dépend de votre hébergeur. Vérifiez auprès de lui qu'elle est bien appliquée, et que la version utilisée par votre site est toujours maintenue.

Que faire maintenant ?

1. Identifier la version de PHP utilisée par chaque site et chaque application, y compris les anciens sites oubliés et les outils internes.
2. Mettre à jour dès la publication des correctifs : paquets de votre distribution Linux, dépôt PHP utilisé, ou mise à jour proposée par votre hébergeur. Redémarrez ensuite PHP-FPM ou le serveur web pour que la nouvelle version soit réellement chargée.
3. Traiter les versions non maintenues : migrer vers une branche supportée. En attendant, le CERT-FR recommande d'isoler ces serveurs d'Internet.
4. Protéger en attendant le correctif : un pare-feu applicatif (WAF) peut bloquer les vecteurs connus. Cloudflare indique avoir déployé des règles pour tous ses clients. C'est une protection temporaire, pas un remplacement de la mise à jour.
5. Surveiller les signes de compromission : processus PHP qui lancent des commandes système, fichiers inconnus apparus dans le dossier du site, nouvelles tâches planifiées, nouveaux comptes administrateurs.

Pour connaître la version de PHP installée sur un serveur :

php -v
# version réellement utilisée par le site (PHP-FPM)
php-fpm8.3 -v   # adapter au numéro de version installé

Les mesures provisoires ne suffisent pas

Le CERT-FR mentionne deux contournements, sans les qualifier : désactiver session.upload_progress dans la configuration de PHP (ce qui ne réduit la surface d'attaque que pour une des deux failles), et bloquer ou surveiller les requêtes HTTP de type « multipart » au niveau d'un pare-feu applicatif.

Des membres de l'équipe PHP ont précisé que les réglages de configuration ne protègent pas réellement. Ces mesures peuvent réduire le risque quelques heures, mais seule la mise à jour corrige le problème.

Pourquoi c'est sérieux

Une faille dans le moteur PHP ne dépend ni du thème, ni des extensions, ni de la qualité du code de votre site : c'est la couche sur laquelle tout repose qui est touchée. Les précédentes failles critiques de PHP ont été massivement exploitées, notamment pour installer des rançongiciels, dans les jours qui ont suivi leur publication.

Les serveurs non mis à jour seront scannés automatiquement. Ce n'est pas une question de notoriété du site : un petit site vitrine est une cible aussi intéressante qu'un autre pour héberger des pages frauduleuses ou servir de relais.

Conclusion

Cette alerte rappelle qu'un site ou une application ne s'arrête pas à sa mise en ligne. La version de PHP, les paquets du serveur et les dépendances doivent être suivis, mis à jour rapidement en cas d'urgence, et contrôlés après coup.

Une mise à jour faite le jour même vaut mieux qu'un nettoyage après compromission.

Article rédigé le 21 octobre 2026, avant la publication des correctifs. Il sera mis à jour avec les numéros de version corrigés dès leur publication par PHP.