Failles critiques dans PHP : quelles versions mettre à jour et comment protéger ses serveurs

Les vulnérabilités découvertes, référencées CVE-2026-109618 et CVE-2026-109619 et notées 9,2 sur 10 selon l’échelle CVSS v4.0, se situent dans le moteur de PHP lui-même, au niveau de la gestion de la mémoire. Cela signifie que tout site qui repose sur une version vulnérable du langage est exposé, quel que soit son propre code. Leur portée est large, puisque PHP fait fonctionner 69,3 % des sites dont le langage serveur est identifié, selon W3Techs, de WordPress à Magento en passant par Drupal et Joomla.

Une prise de contrôle à distance, sans compte ni mot de passe

D’après l’avis de sécurité publié par l’équipe de PHP, un attaquant peut exploiter ces défauts pour faire exécuter son propre code au serveur. Toutes les installations qui traitent des requêtes web sont concernées :

• PHP-FPM,
• Apache avec le module mod_php,
• php-cgi,
• FrankenPHP,
• LiteSpeed.

À noter que le risque est jugé maximal pour mod_php, où une seule requête suffit à déclencher l’attaque avant même l’exécution du code de l’application. Ce mardi 20 octobre, l’équipe de sécurité de PHP a annoncé la publication des correctifs pour le 21 octobre à 16 h, heure de Paris. Ils ont été mis en ligne à 15 h 30, d’après le CERT-EU. L’une des failles a été identifiée par la société Calif avec le modèle GPT-5.6 Sol, et Wiz a découvert les deux de façon indépendante, d’après un billet de blog publié par OpenAI.

Comment protéger son site sous PHP ?

Le CERT-FR, rattaché à l’ANSSI, a publié le 21 octobre une alerte qui recense les systèmes affectés et les mesures à prendre. L’équipe de sécurité du langage et plusieurs hébergeurs, dont GoDaddy, ont diffusé leurs propres recommandations. L’équipe de sécurité de PHP rappelle que seule une mise à jour supprime complètement le risque.

Identifier les versions en place et installer le correctif

La version utilisée s’affiche avec la commande php -v ou, sur WordPress, dans Outils > Santé du site > Infos > Serveur, indique GoDaddy. Les versions corrigées sont les suivantes :

• 8.5.12 pour la branche 8.5
• 8.4.27 pour la branche 8.4
• 8.3.36 pour la branche 8.3
• 8.2.35 pour la branche 8.2

Isoler les serveurs non corrigés et rechercher une éventuelle compromission

Tant que le correctif n’est pas appliqué, le CERT-FR et le CERT-EU recommandent d’isoler les équipements concernés du réseau public. Des preuves de concept circulent déjà, ce qui accroît la probabilité d’attaques en cours, prévient le CERT-EU. Pour les serveurs restés exposés, le CERT-FR renvoie vers sa « fiche réflexe » dédiée à la « compromission d’un équipement de bordure réseau », qui liste les premières actions à mener pour contenir une intrusion.

Le cas des versions qui ne sont plus maintenues

Le CERT-FR classe aussi parmi les systèmes affectés les branches 5.x à 8.1.x, que le projet ne maintient plus. Selon W3Techs, 26,9 % des sites en PHP tournent encore sous la version 7 et 7,7 % sous la version 5. Le CERT-FR préconise une migration vers une version maintenue. L’équipe de PHP a publié des correctifs minimaux pour les versions 7.4, 8.0 et 8.1, destinés aux organisations qui compilent le langage elles-mêmes.

Des sites mis hors ligne par précaution

À la demande de l’ANSSI, le ministère de l’Intérieur a placé en maintenance préventive l’ensemble de ses services en ligne exposés, d’après un communiqué relayé par Le Monde.

🔵 À la demande de l’@ANSSI_FR, le ministère de l’Intérieur a procédé à la mise en maintenance préventive de plusieurs de ses sites internet. Cela fait suite à une vulnérabilité critique de sécurité, annoncée quelques heures auparavant par l’éditeur d’un composant logiciel générique utilisé à travers le monde.

Les sites internet des préfectures sont temporairement inaccessibles. ⚠️

➡️ Arrêtés préfectoraux, messages d’alerte, consignes comportementales : accédez aux publications de votre préfecture et restez informés via leurs réseaux sociaux, ou par voie d’affichage.

Nos équipes sont mobilisées pour procéder aux opérations de mise à jour dans les meilleurs délais.

— Ministère de l’Intérieur (@Interieur_Gouv) October 21, 2026

De son côté, l’ANSSI indique que plus de 600 000 serveurs exploitent PHP sur l’Internet français. L’agence recommande, lorsque c’est possible, la mise hors ligne des serveurs concernés jusqu’à l’application de la mise à jour. Elle précise avoir partagé l’alerte du CERT-FR en France et à l’étranger, notamment avec les CERT nationaux, ministériels, sectoriels et territoriaux avec lesquels elle échange au quotidien. Sur X, l’agence évoque deux vulnérabilités critiques « dont l’exploitation rapide est à craindre ».