Deux failles critiques PHP : que vérifier ?

Alex NESVIT · Article du 23 octobre 2026, adapté le 30 octobre 2026

Deux failles dans le moteur PHP

Le 21 octobre 2026, PHP a publié des correctifs pour CVE-2026-109618 et CVE-2026-109619. Ces vulnérabilités peuvent permettre une exécution de code à distance sans authentification, dans certaines conditions liées à la gestion de la mémoire. Il s’agit du moteur PHP, pas de deux bibliothèques Composer.

Les versions correctives annoncées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Vérifiez auprès de votre hébergeur la version réellement utilisée et les correctifs fournis : certains fournisseurs appliquent des correctifs à leurs propres paquets.

Source : annonces officielles PHP d’octobre 2026. Sur Windows, des builds supplémentaires ont été publiés le 26 octobre pour un autre problème : utilisez le paquet corrigé le plus récent de votre fournisseur.

Mon site WordPress ou mon application est-il concerné ?

WordPress, WooCommerce, Drupal, Joomla, PrestaShop, Laravel et Symfony peuvent fonctionner avec PHP. Cela ne signifie pas que chaque site est exploitable dans toutes les configurations. La première étape consiste à identifier le moteur et les paquets réellement utilisés par le site, avec votre hébergeur.

Mettre à jour un plugin WordPress ne met pas automatiquement à jour PHP. Sur certains hébergements, la version se règle dans le panneau de gestion ; ailleurs, l’administrateur du serveur doit intervenir.

Les vérifications à faire dans l’ordre

1. Identifier la version PHP du site et demander à l’hébergeur si les deux correctifs sont appliqués.
2. Sauvegarder les fichiers et la base de données, puis vérifier que la restauration est possible.
3. Vérifier la compatibilité du CMS, des extensions et du code avec la version cible.
4. Tester la mise à jour sur une copie : navigation, administration, formulaires, commandes et tâches planifiées selon votre site.
5. Appliquer les correctifs puis contrôler les journaux, les erreurs et les fonctions importantes.

Une mise à jour ne permet pas, à elle seule, d’exclure une compromission antérieure. En cas de comportement inhabituel, faites examiner les journaux et les fichiers. Le NCSC recommande également de rechercher les signes d’une éventuelle compromission.

Éviter les fausses alertes

Accédez directement au panneau de votre hébergeur, sans suivre un lien reçu dans un message alarmiste. Des mots de passe distincts et la double authentification protègent les comptes ; ils ne remplacent pas un correctif PHP.

Besoin de faire le point ?

Nous pouvons cadrer un contrôle de votre environnement, des sauvegardes et des compatibilités avant intervention. L’objectif : savoir ce qui doit être corrigé et comment le vérifier.

Retour au journal du studio