Failles critiques dans PHP : ce que doit faire votre entreprise

Le 21 octobre 2026, l’équipe qui développe PHP a publié en urgence des correctifs pour deux failles critiques. PHP est le langage qui fait fonctionner une grande partie des sites internet, dont la plupart des sites WordPress, PrestaShop ou Drupal. Pas de panique : le correctif existe, et le problème se règle en général par une mise à jour. Voici ce qu’il faut savoir, et quoi faire.

Ce qui s’est passé

• Deux failles, référencées CVE-2026-109618 et CVE-2026-109619, permettent à un attaquant d’exécuter du code sur le serveur à distance, sans mot de passe. Leur gravité est notée 9,2 sur 10.
• Des informations ont fuité la veille de la publication des correctifs, et des tentatives d’attaque ont été observées peu après, selon plusieurs éditeurs de sécurité.
• L’agence nationale de la sécurité des systèmes d’information a publié une alerte : CERTFR-2026-ALE-014.

Votre site est-il concerné ?

Probablement, s’il fonctionne avec PHP et n’a pas été mis à jour depuis le 21 octobre. Les failles touchent le moteur PHP lui-même, quel que soit le site qu’il fait tourner. Mettre à jour WordPress ou vos extensions ne suffit donc pas : c’est la version de PHP du serveur qui doit être corrigée.

Les versions corrigées annoncées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions 8.1 et plus anciennes ne sont plus suivies par l’équipe PHP et ne reçoivent pas de correctif officiel : un site qui tourne encore avec l’une d’elles doit passer à une version récente. Vérifiez toujours les numéros exacts sur le site officiel php.net.

Les trois questions à poser à votre hébergeur ou à votre prestataire

• Quelle version de PHP fait tourner notre site ? Sur un hébergement mutualisé, elle s’affiche souvent dans l’espace client.
• Le correctif du 21 octobre est-il appliqué ? Sur un hébergement mutualisé, c’est l’hébergeur qui met PHP à jour. Sur un serveur dédié ou une machine virtuelle, c’est à vous ou à votre prestataire de le faire.
• Avez-vous vérifié qu’aucune intrusion n’a eu lieu avant la mise à jour ? Une mise à jour ferme la porte, mais ne chasse pas un intrus déjà entré.

Ce que vous pouvez faire dès maintenant

• Lancez notre test gratuit de la faille PHP : il regarde la version de PHP que votre serveur affiche et vous dit si elle est corrigée, ou ce qu’il faut demander à votre hébergeur.
• Si vous gérez vous-même votre serveur, appliquez la mise à jour de PHP en priorité, puis redémarrez le service.
• Surveillez les signes inhabituels : fichiers ajoutés, pages modifiées, comptes administrateurs inconnus, envoi d’e-mails suspects depuis votre site.
• En cas de doute sur une intrusion, consultez notre guide site internet piraté : que faire ?

Et après ?

Ce genre d’alerte reviendra. La meilleure protection est un suivi régulier : versions à jour, sauvegardes testées, et un regard extérieur sur ce que votre site laisse voir. Un pentest web permet de vérifier, avec votre accord, ce qu’un attaquant pourrait réellement atteindre.

Sources : alerte du CERT-FR, analyses publiées par Tenable et Rapid7. Article rédigé le 22 octobre 2026, à partir des informations disponibles à cette date.