Failles critiques dans PHP : alerte maximale et mise à jour d’urgence ce mercredi à 16 h

Branle-bas de combat pour les administrateurs système et les développeurs web. PHP publiera ce mercredi 21 octobre à 16 heures (heure de Paris) des correctifs d’urgence pour colmater deux failles de sécurité critiques.

L’équipe chargée de la sécurité de PHP a publié un avis ce mardi 20 octobre. Elle y annonce des correctifs pour deux failles critiques, attendus ce mercredi 21 octobre à 14 heures UTC, soit 16 heures à Paris. Moins d’une journée sépare donc l’alerte de la mise à jour. Et le public concerné est énorme : PHP est utilisé par 69,3 % des sites dont on connaît le langage côté serveur, d’après les relevés de W3Techs. On y trouve WordPress, une bonne partie des boutiques en ligne et une foule d’applications maison.

Les deux failles portent les identifiants CVE-2026-109618 et CVE-2026-109619, la référence du registre public qui numérote les vulnérabilités. PHP les note 9,2 sur 10 selon CVSS v4.0, la grille standard qui mesure la gravité d’une faille. Pour le reste, l’équipe garde tout jusqu’à la sortie des correctifs : versions touchées, mode d’exploitation et versions corrigées. Elle demande aux utilisateurs de se préparer dès maintenant pour mettre à jour dès la publication.

Une fuite sur Hacker News a bousculé le calendrier

Si PHP prévient avec si peu de délai, c’est que l’information circulait déjà. Le 20 octobre, peu avant l’avis officiel, un utilisateur nommé « petecooper » a publié un message sur Hacker News, le forum tech de l’incubateur Y Combinator. Il y annonçait deux failles d’exécution de code à distance (RCE) dans PHP. En clair, ce type de faille permet à un attaquant de lancer ses propres commandes sur le serveur visé.

Le message a été supprimé depuis, mais BleepingComputer a pu le lire. Il donnait les mêmes identifiants CVE, une note de 10 sur 10 et une divulgation prévue le 22 octobre.

D’après Ars Technica, la fuite comprenait aussi une vidéo, non authentifiée, d’un outil baptisé PHP2Shell. On l’y voyait exécuter du code sur des sites WordPress, Drupal, Magento ou Joomla.

Plus d’un site PHP sur trois tourne encore sur une vieille version

Les sources ne s’accordent pas sur la gravité. watchTowr et le message de Hacker News parlent d’une note de 10, le maximum. De son côté, PHP s’en tient à 9,2, et personne n’a encore expliqué cet écart.

Toujours selon watchTowr, les failles toucheraient PHP 5, 6, 7 et 8. PHP 6 n’est jamais sorti en version stable (le projet l’a abandonné en 2010 et est passé directement de PHP 5 à PHP 7), mais le reste de la liste inquiète davantage. Le site officiel de PHP ne cite aujourd’hui que quatre branches maintenues, de PHP 8.2 à PHP 8.5.

Pourtant, au 20 octobre, 27 % des sites sous PHP utilisaient encore PHP 7 et 7,7 % PHP 5, une version sortie en 2004, toujours d’après W3Techs. Si watchTowr a raison, plus d’un site PHP sur trois tourne donc sur une version que le projet ne suit plus. Surtout, les détails techniques sortiront en même temps que les correctifs.

Cités par Ars Technica, les chercheurs de Sansec, spécialisés dans la sécurité des boutiques en ligne, s’attendent à des attaques de masse dans le quart d’heure qui suivra.

Alors que faire ? Vérifiez la version de PHP de vos serveurs (la commande php -v suffit) et prévoyez une fenêtre de maintenance ce mercredi après-midi. Sur un hébergement mutualisé, la mise à jour dépend de l’hébergeur : demandez-lui quand il compte l’appliquer. PHP annoncera les versions corrigées à 16 heures, heure de Paris, dans la rubrique actualités de php.net.