PHP : deux failles critiques, mettez votre hébergement à jour !

Le 21 octobre 2026, le projet PHP a publié des correctifs d’urgence pour deux failles critiques : CVE-2026-109618 et CVE-2026-109619. Notées 9,2/10, elles peuvent permettre à un attaquant d’exécuter du code sur un serveur sans identifiant ni mot de passe.

Les installations PHP qui traitent des requêtes web sont concernées. Cela inclut notamment les sites WordPress, les boutiques en ligne et les applications métier utilisant ce langage. Une entreprise peut donc être concernée sans avoir développé elle-même de logiciel.

La mise à jour concerne l’hébergement

WordPress précise qu’aucune mise à jour de WordPress n’est prévue pour ces failles. La correction porte sur PHP, généralement géré par l’hébergeur ou l’administrateur du serveur. Mettre à jour ses extensions ne suffit donc pas à traiter cette alerte.

Les versions corrigées publiées le 21 octobre sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Certains fournisseurs intègrent aussi les correctifs à leurs propres paquets : leur confirmation reste nécessaire si le numéro de version affiché est plus ancien.

Les actions à engager

• Contacter votre hébergeur ou prestataire et lui demander une confirmation de l’application des correctifs pour les deux CVE, sur tous vos sites et applications concernés.
• Si vous utilisez PHP 8.1 ou une version antérieure, vérifier l’existence d’un correctif fourni par votre distributeur et organiser la migration vers une branche officiellement maintenue.
• Après intervention, vérifier les fonctions essentielles : connexion, formulaires, paiements et échanges avec le CRM ou les autres outils.

Si la correction ne peut pas être appliquée rapidement, le CERT-EU recommande d’envisager l’isolement des applications exposées sur Internet. Les mesures provisoires réduisent certaines possibilités d’attaque, mais ne remplacent pas les correctifs.

Le point Clarifya

On conseille de demander une confirmation explicite de la correction, y compris sur un hébergement mutualisé. C’est aussi l’occasion de vérifier qui suit les mises à jour du serveur et qui contrôle le bon fonctionnement du site après intervention.

Besoin d’aide pour vérifier votre environnement PHP ou faire le point avec votre hébergeur ? Contactez Clarifya.