Failles critiques PHP : comment protéger vos sites et applications ?

Deux vulnérabilités critiques touchent PHP, le moteur utilisé par de nombreux sites web et applications. Des correctifs ont été publiés le 21 octobre. Si votre organisation utilise PHP, la priorité est de vérifier les environnements concernés et d’organiser leur mise à jour sans attendre.

Un site qui fonctionne normalement peut néanmoins être vulnérable. Pour les responsables informatiques comme pour les entreprises qui confient leur site à un prestataire, quelques vérifications s’imposent : quelle version est utilisée, un correctif a-t-il été installé et qui prend en charge l’intervention ?

Pourquoi cette alerte est-elle importante ?

Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 concernent la gestion de la mémoire dans PHP. La première implique une corruption lors du traitement d’un manque de mémoire. La seconde concerne la réutilisation d’un état interne devenu invalide entre plusieurs requêtes.

Elles peuvent permettre à un attaquant d’exécuter du code à distance, sans authentification préalable. L’impact dépend notamment des permissions du processus PHP : les fichiers et données auxquels il a accès peuvent être exposés. Cela ne signifie pas automatiquement que l’attaquant obtient tous les droits sur le serveur, mais le risque reste critique.

Les deux vulnérabilités sont évaluées à 9,2 sur 10 selon CVSS v4.0. Les avis techniques du projet PHP détaillent les mécanismes et les conditions d’exploitation : CVE-2026-109618 et CVE-2026-109619.

Votre site ou votre application utilise-t-il PHP ?

L’alerte concerne les installations PHP qui traitent des requêtes web, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le projet PHP considère le risque particulièrement élevé avec mod_php.

Le premier réflexe consiste à contacter la personne qui administre votre environnement : équipe informatique, agence web, prestataire applicatif ou infogérant. Demandez-lui de confirmer la version réellement utilisée et son état de correction.

Mettre à jour le contenu de son site ou ses extensions ne permet pas, à lui seul, de confirmer que PHP a été corrigé. Il faut vérifier le moteur qui exécute l’application.

Pour un administrateur, la commande suivante fournit une première indication :

php -v

Elle affiche la version du programme PHP appelé en ligne de commande. Elle ne constitue pas un inventaire de tous les environnements du serveur. La documentation PHP décrit cette option.

Vérifiez également la configuration du site, son pool PHP-FPM ou son conteneur. Plusieurs versions peuvent cohabiter : un contrôle doit porter sur chaque environnement utilisé, y compris les préproductions accessibles depuis Internet.

Quelles versions corrigées installer ?

L’avis officiel indique les versions corrigées suivantes :

Les distributions Linux et fournisseurs de maintenance peuvent intégrer les correctifs dans leurs propres paquets, avec une numérotation différente. Vérifiez leur bulletin de sécurité.

PHP 8.1 et les branches antérieures ne sont plus maintenus officiellement. Des correctifs sources exceptionnels existent pour 7.4, 8.0 et 8.1 ; certains fournisseurs proposent aussi des correctifs rétroportés. Cela ne rétablit pas une maintenance durable : une migration reste à préparer.

Source : avis de sécurité officiel PHP du 21 octobre 2026.

Organiser l’intervention et vérifier son résultat

Nous recommandons de faire piloter l’opération par l’administrateur de l’environnement, avec un suivi simple des services traités et des éventuels blocages.

1. Identifier le périmètre. Listez les sites, applications et environnements utilisant PHP, en priorisant ceux accessibles depuis Internet.
2. Préparer l’intervention. Vérifiez les sauvegardes disponibles, les dépendances applicatives et les conditions de reprise en cas de difficulté.
3. Installer le correctif adapté. Utilisez le canal de maintenance correspondant à votre installation. Pour les conteneurs, prévoyez la mise à jour des images et leur redéploiement.
4. Renouveler les processus concernés. Redémarrez les services qui chargent PHP, selon votre architecture, pour que le code corrigé soit effectivement utilisé.
5. Contrôler le fonctionnement. Vérifiez la version ou le paquet réellement actif, puis testez les parcours essentiels : connexion, formulaires, commandes ou accès aux applications métier.

Gardez une trace de l’intervention. Un statut « corrigé », « en cours » ou « bloqué » par environnement permet d’éviter qu’un site secondaire soit oublié.

Que faire si la mise à jour est bloquée ?

Une application ancienne ou une incompatibilité peut compliquer l’intervention. Le projet PHP décrit des mesures temporaires qui réduisent certaines possibilités d’exploitation, sans remplacer le correctif.

Pour CVE-2026-109619, il mentionne notamment la désactivation du suivi de progression des téléversements, ainsi que celle des traces d’erreurs fatales sur PHP 8.5. Ces réglages doivent s’appliquer avant le traitement des requêtes et nécessitent le redémarrage des processus concernés. Ils ne couvrent pas toutes les variantes de la faille, ni l’autre vulnérabilité.

Ne considérez donc pas un ajustement de configuration comme une correction complète. Faites définir les mesures adaptées par votre administrateur à partir des avis officiels. Selon l’exposition et les contraintes, il pourra également évaluer une restriction temporaire des accès ou une suspension du service concerné.

Qui doit prendre en charge la mise à jour ?

L’entreprise qui héberge un serveur n’assure pas nécessairement la maintenance de toutes les applications qui y sont installées. Il faut identifier explicitement le responsable de PHP.

Si vous êtes en infogérance avec Nubevia, nos équipes prennent en charge les correctifs sur le périmètre qui leur est confié. Si cette maintenance relève de vos équipes ou d’un autre prestataire, transmettez-leur l’alerte pour organiser l’intervention.

Vous ne savez pas comment procéder ou ne disposez pas de prestataire ? Votre interlocuteur commercial Nubevia peut étudier votre besoin et vous proposer un accompagnement sur devis.