L'essentiel
Si votre site tourne sous PHP, demandez dès maintenant à votre hébergeur ou à votre webmaster quelle version il utilise. Le CERT-FR a publié le 21 octobre 2026 une alerte sur deux failles critiques, et indique que les correctifs sont disponibles sur le site de l'éditeur.
Qui est concernéLes entreprises dont le site fonctionne avec PHP, surtout avec une version ancienne : la source ne précise pas les types de sites ni les tailles d'entreprise visés.
- Le CERT-FR a publié une alerte le 21 octobre 2026 sur deux failles critiques dans PHP.
- Selon PHP, ces failles permettent à un attaquant de provoquer une exécution de code à distance.
- Pour les versions 5, 6, 7, 8.0 et 8.1, l'éditeur n'assure plus le support : le CERT-FR recommande de migrer.
- Sont touchées les versions 8.2 antérieures à 8.2.35, 8.3 antérieures à 8.3.36, 8.4 antérieures à 8.4.27 et 8.5 antérieures à 8.5.12.
- Des mesures provisoires existent, mais le CERT-FR ne les a pas qualifiées.
Dans cet article
Mon site est-il concerné par cette faille PHP ?
PHP est un langage de programmation utilisé pour faire fonctionner des sites internet. Vous ne le voyez pas, mais votre site peut en dépendre sans que vous le sachiez. Selon le CERT-FR, la liste des versions touchées est large : toutes les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, ainsi que les versions 8.2.x antérieures à 8.2.35, 8.3.x antérieures à 8.3.36, 8.4.x antérieures à 8.4.27 et 8.5.x antérieures à 8.5.12.
La source ne précise pas quels types de sites ou quelles tailles d'entreprise sont visés. Elle ne dit pas non plus comment vérifier la version sur un site précis. Votre hébergeur ou la personne qui s'occupe de votre site pourra vous répondre, à vérifier auprès de la source pour le détail technique.
Que permettent ces deux failles ?
Dans son bulletin d'alerte CERTFR-2026-ALE-014, le CERT-FR indique que PHP a publié le 20 octobre 2026 une communication sur deux vulnérabilités critiques. Elles portent les références CVE-2026-109618 et CVE-2026-109619. D'après PHP, elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
En clair : une personne malintentionnée pourrait faire exécuter ses propres instructions sur la machine qui héberge le site, sans y être présente. Dans la publication initiale, PHP annonçait les correctifs pour le 21 octobre 2026 à 16h00, heure de Paris. La mise à jour du bulletin, le 21 octobre 2026, indique qu'ils sont disponibles sur le site de l'éditeur.
Mon site est ancien : que recommande le CERT-FR ?
Pour les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, l'éditeur n'assure plus le support. Le CERT-FR recommande d'isoler les équipements concernés, puis de migrer vers une version maintenue avec les derniers correctifs de sécurité dès la publication du correctif de l'éditeur.
Une migration peut demander des adaptations du site : seul un professionnel pourra dire lesquelles.
Existe-t-il une solution provisoire ?
Le CERT-FR cite deux contournements, en précisant qu'il ne les a pas qualifiés. Le premier consiste à désactiver, dans le fichier de configuration de PHP, une fonction de suivi de l'envoi de fichiers (si PHP-FPM est utilisé, un réglage supplémentaire est aussi nécessaire). Il ne réduit le risque que pour l'une des deux failles, et coupe cette fonctionnalité.
Le second consiste à bloquer les requêtes web dont l'en-tête indique un contenu de type multipart. Si le blocage ne peut pas être appliqué, le bulletin indique qu'il est fortement recommandé d'appliquer une politique de supervision pour ce type de requête. Selon le CERT-FR, ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall). Elles relèvent de votre prestataire technique, pas d'un geste à faire seul.
Pour vous
Ce que ça change pour vous
Si votre site utilise PHP, la version installée compte. Le CERT-FR renvoie vers le bulletin de l'éditeur pour obtenir les correctifs.
- Demandez à votre hébergeur ou à votre webmaster si votre site utilise PHP et quelle version est installée.
- Comparez avec les versions touchées citées par le CERT-FR : 8.2 antérieures à 8.2.35, 8.3 antérieures à 8.3.36, 8.4 antérieures à 8.4.27, 8.5 antérieures à 8.5.12.
- Si votre version est dans cette liste, demandez à votre prestataire d'installer les correctifs de l'éditeur, à vérifier auprès de la source pour les versions exactes.
- Si votre version est 5, 6, 7, 8.0 ou 8.1, demandez un plan de migration vers une version maintenue.
- En attendant, demandez si les mesures provisoires du CERT-FR peuvent être appliquées, en sachant qu'elles ne sont pas qualifiées par lui.
- Gardez une trace écrite de ce que votre prestataire a fait et à quelle date.
Questions fréquentes
Comment savoir si mon site utilise PHP ?
La source ne l'indique pas. Posez la question à votre hébergeur ou à la personne qui a créé votre site : elle saura quelle technologie et quelle version sont installées.
Ces failles sont-elles graves ?
Le CERT-FR parle de deux vulnérabilités critiques. Elles permettent, selon PHP, l'exécution de code arbitraire à distance, c'est-à-dire de faire tourner des instructions étrangères sur le serveur.
Où trouver les correctifs ?
Selon le CERT-FR, les correctifs de sécurité sont disponibles sur le site de l'éditeur PHP. C'est à votre prestataire technique de les installer.
Mon site utilise une vieille version de PHP, que faire ?
Pour les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, dont l'éditeur n'assure plus le support, le CERT-FR recommande d'isoler les équipements puis de migrer vers une version maintenue et à jour.
Et pour votre entreprise ?
On peut s'en occuper avec vous
Vous ne savez pas quelle version de PHP fait tourner votre site ? Nous pouvons réaliser un audit de sécurité de votre site et vous dire ce qu'il faut mettre à jour.
- Un audit de sécurité de votre siteCertificat, mises à jour, formulaires, protection de votre messagerie : on repère ce qu'un pirate verrait en premier.Demander cet audit
- Un site qui vous amène des clientsUn site neuf ou refait : rapide sur téléphone, à jour des règles, pensé pour qu'on vous appelle ou demande un devis.Créer mon site
- Des outils sur mesureDevis, suivi des clients, relances, planning : ce qui vous prend du temps chaque semaine, automatisé selon votre façon de travailler.Voir les outils
Sans engagement : un échange de dix minutes suffit pour savoir si on peut vous aider. Sinon, on vous le dit.
Sources
Actualité du . Article établi à partir des sources citées et vérifié avant publication par Salvero. Une erreur ? Signalez-la-nous.
Cet article vous a été utile ? Partagez-le.