Deux failles critiques dans PHP : le correctif est sorti, votre site doit être mis à jour

Lundi 20 octobre, un message apparaît sur le forum Hacker News. Il affirme que PHP contient deux failles d’exécution de code à distance, avec un outil d’attaque à l’appui. Il est supprimé, mais les captures d’écran circulent déjà, raconte le Journal du Coin. Le même jour, les chercheurs de watchTowr confirment que les failles existent et reproduisent la première. Pour l’équipe de sécurité de PHP, le calendrier de divulgation coordonnée vient de voler en éclats.

Elle avait annoncé une mise à jour de sécurité pour le 21 octobre à 14 h UTC, sans préciser les versions ni la nature des failles, en se réservant le droit de publier plus tôt si des détails devenaient publics. Les correctifs sont bien sortis le 21. Les deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, ont une note de 9,2 sur 10 selon l’échelle CVSS 4.0, et permettent à un attaquant d’exécuter du code sur le serveur à distance, selon le CERT-FR.

Quelles versions de PHP sont touchées

• Toutes les branches 5.x, 7.x, 8.0.x et 8.1.x, qui ne sont plus supportées : elles ne recevront pas de correctif officiel.
• PHP 8.2 avant la version 8.2.35.
• PHP 8.3 avant la version 8.3.36.
• PHP 8.4 avant la version 8.4.27.
• PHP 8.5 avant la version 8.5.12.

Ces versions sont celles de l’alerte CERTFR-2026-ALE-014 du CERT-FR, mise à jour le 22 octobre. Un site sous PHP 7.4 ou 8.0, fréquent sur de vieux hébergements, n’aura donc pas de patch d’éditeur : il faut changer de version, ou compter sur un correctif rétroporté par l’hébergeur ou la distribution Linux.

Des attaques déjà observées ?

Les sources ne disent pas tout à fait la même chose. Believemy, qui cite la société de sécurité Sansec, rapporte des tentatives d’attaque dès le 21 octobre, la première détectée par Cloudflare à 7 h 43 UTC. Huntress, de son côté, n’en avait observé aucune chez ses clients au 20 octobre. Le CERT-FR indique connaître depuis le 22 octobre des preuves de concept, pour certains déploiements précis de PHP. À ce stade, aucun code d’exploitation public vérifié n’a été identifié ; des pages qui prétendent en proposer un circulent et sont à prendre avec méfiance.

Que faire

• Hébergement mutualisé ou WordPress géré : vérifier chez l’hébergeur que PHP a été mis à jour. Dans WordPress, la version se lit dans Outils, Santé du site, onglet Info, section Serveur.
• Serveur géré par vous : installer 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou plus récent) via le gestionnaire de paquets, après sauvegarde complète, puis redémarrer PHP-FPM ou Apache.
• Version non supportée : planifier le passage à une branche maintenue (8.3 ou plus récent) et isoler en attendant le serveur d’Internet autant que possible.
• En attendant : le CERT-FR propose de bloquer, par exemple avec un pare-feu applicatif, les requêtes dont l’en-tête Content-Type est multipart. Attention, cela bloque aussi les envois de fichiers, y compris la médiathèque WordPress.

Les détails techniques n’ont pas été publiés par watchTowr. Pour les administrateurs, la consigne tient en une ligne : inventorier tous les serveurs et conteneurs qui font tourner PHP, y compris les logiciels tiers oubliés, puis les mettre à jour sans attendre la publication de l’exploit.