Deux failles critiques dans PHP : des correctifs annoncés pour le 21 octobre à 16 h

Le projet PHP prépare une mise à jour de sécurité pour deux vulnérabilités critiques, toutes deux notées 9,2 sur 10. La publication est annoncée pour ce mercredi 21 octobre 2026 à 14 h UTC, soit 16 h en France métropolitaine. Les administrateurs sont invités à se préparer pour déployer les correctifs dès leur disponibilité.

L’alerte est sérieuse, mais les informations restent limitées : dans son avis préalable, l’équipe PHP réserve la liste des versions concernées et corrigées, ainsi que les détails techniques, à la publication des correctifs.

Un risque d’exécution de code à distance

Les deux vulnérabilités portent les références CVE-2026-109618 et CVE-2026-109619. Le CERT-EU évoque un risque d’exécution de code à distance sans authentification, tout en soulignant l’absence de détails techniques publics au moment de son avis.

Concrètement, une telle faille peut permettre à un attaquant de faire exécuter des instructions par un serveur vulnérable. Cela ne signifie pas que tous les sites écrits en PHP sont déjà compromis, ni que toutes les configurations sont exploitables de la même manière.

Les informations évoquant un périmètre remontant à PHP 5 doivent encore être confrontées à la liste officielle détaillée. Il serait prématuré de donner un numéro de version comme sûr avant la publication correspondante.

Ce qu’il faut préparer côté hébergement

Le CERT-EU recommande d’identifier les applications utilisant PHP et de préparer une correction immédiate. Si celle-ci n’est pas possible, il conseille d’envisager l’isolement des applications exposées à Internet jusqu’à ce qu’un correctif puisse être appliqué.

Pour les propriétaires de sites, la répartition des tâches dépend de l’hébergement :

• Hébergement mutualisé : demandez à votre prestataire comment il déploiera les correctifs et si une action est nécessaire dans votre espace client.
• Serveur dédié, VPS ou conteneurs : recensez les environnements PHP réellement utilisés et préparez leur mise à jour, avec les contrôles de fonctionnement nécessaires.
• Plusieurs sites sur une même machine : vérifiez chaque environnement ; une mise à jour sur une instance ne prouve pas que toutes les autres sont corrigées.

Mettre à jour WordPress ou ses extensions reste utile, mais ne doit pas être confondu avec la correction du moteur PHP utilisé par l’hébergement. Les deux niveaux doivent être vérifiés séparément.

Une alerte à suivre, sans transformer le risque en catastrophe acquise

L’équipe PHP se réserve la possibilité de publier plus tôt si des détails deviennent publics ou si des signes d’exploitation apparaissent. Cette formulation ne constitue pas, à elle seule, la confirmation d’attaques en cours.

Je privilégierais donc une préparation concrète : savoir qui intervient, quels sites dépendent de quelles instances et comment vérifier leur bon fonctionnement après correction. Cela sera plus utile qu’un changement de version improvisé en pleine production.

Les versions corrigées doivent être confirmées dans l’annonce de sécurité finale. L’horaire prévu ne suffit pas à affirmer que les paquets sont déjà disponibles chez chaque hébergeur ou distributeur.