# Votre site tourne sous PHP ? Deux failles critiques à vérifier > Si votre site tourne sous PHP, demandez dès maintenant à votre hébergeur ou à votre webmaster quelle version il utilise. Le CERT-FR a publié le 21 octobre 2026 une alerte sur deux failles critiques, et indique que les correctifs sont disponibles sur le site de l'éditeur. Rubrique : Cybersécurité et arnaques · Publié le 22 octobre 2026 · Salvero (JEM NODE) Adresse : https://salvero-agency.com/fr/actualites/votre-site-tourne-sous-php-deux-failles-critiques-a-verifier ## Points clés - Le CERT-FR a publié une alerte le 21 octobre 2026 sur deux failles critiques dans PHP. - Selon PHP, ces failles permettent à un attaquant de provoquer une exécution de code à distance. - Pour les versions 5, 6, 7, 8.0 et 8.1, l'éditeur n'assure plus le support : le CERT-FR recommande de migrer. - Sont touchées les versions 8.2 antérieures à 8.2.35, 8.3 antérieures à 8.3.36, 8.4 antérieures à 8.4.27 et 8.5 antérieures à 8.5.12. - Des mesures provisoires existent, mais le CERT-FR ne les a pas qualifiées. ## Mon site est-il concerné par cette faille PHP ? PHP est un langage de programmation utilisé pour faire fonctionner des sites internet. Vous ne le voyez pas, mais votre site peut en dépendre sans que vous le sachiez. Selon le CERT-FR, la liste des versions touchées est large : toutes les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, ainsi que les versions 8.2.x antérieures à 8.2.35, 8.3.x antérieures à 8.3.36, 8.4.x antérieures à 8.4.27 et 8.5.x antérieures à 8.5.12. La source ne précise pas quels types de sites ou quelles tailles d'entreprise sont visés. Elle ne dit pas non plus comment vérifier la version sur un site précis. Votre hébergeur ou la personne qui s'occupe de votre site pourra vous répondre, à vérifier auprès de la source pour le détail technique. ## Que permettent ces deux failles ? Dans son bulletin d'alerte CERTFR-2026-ALE-014, le CERT-FR indique que PHP a publié le 20 octobre 2026 une communication sur deux vulnérabilités critiques. Elles portent les références CVE-2026-109618 et CVE-2026-109619. D'après PHP, elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance. En clair : une personne malintentionnée pourrait faire exécuter ses propres instructions sur la machine qui héberge le site, sans y être présente. Dans la publication initiale, PHP annonçait les correctifs pour le 21 octobre 2026 à 16h00, heure de Paris. La mise à jour du bulletin, le 21 octobre 2026, indique qu'ils sont disponibles sur le site de l'éditeur. ## Mon site est ancien : que recommande le CERT-FR ? Pour les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, l'éditeur n'assure plus le support. Le CERT-FR recommande d'isoler les équipements concernés, puis de migrer vers une version maintenue avec les derniers correctifs de sécurité dès la publication du correctif de l'éditeur. Une migration peut demander des adaptations du site : seul un professionnel pourra dire lesquelles. ## Existe-t-il une solution provisoire ? Le CERT-FR cite deux contournements, en précisant qu'il ne les a pas qualifiés. Le premier consiste à désactiver, dans le fichier de configuration de PHP, une fonction de suivi de l'envoi de fichiers (si PHP-FPM est utilisé, un réglage supplémentaire est aussi nécessaire). Il ne réduit le risque que pour l'une des deux failles, et coupe cette fonctionnalité. Le second consiste à bloquer les requêtes web dont l'en-tête indique un contenu de type multipart. Si le blocage ne peut pas être appliqué, le bulletin indique qu'il est fortement recommandé d'appliquer une politique de supervision pour ce type de requête. Selon le CERT-FR, ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall). Elles relèvent de votre prestataire technique, pas d'un geste à faire seul. ## Ce que ça change pour vous Si votre site utilise PHP, la version installée compte. Le CERT-FR renvoie vers le bulletin de l'éditeur pour obtenir les correctifs. 1. Demandez à votre hébergeur ou à votre webmaster si votre site utilise PHP et quelle version est installée. 2. Comparez avec les versions touchées citées par le CERT-FR : 8.2 antérieures à 8.2.35, 8.3 antérieures à 8.3.36, 8.4 antérieures à 8.4.27, 8.5 antérieures à 8.5.12. 3. Si votre version est dans cette liste, demandez à votre prestataire d'installer les correctifs de l'éditeur, à vérifier auprès de la source pour les versions exactes. 4. Si votre version est 5, 6, 7, 8.0 ou 8.1, demandez un plan de migration vers une version maintenue. 5. En attendant, demandez si les mesures provisoires du CERT-FR peuvent être appliquées, en sachant qu'elles ne sont pas qualifiées par lui. 6. Gardez une trace écrite de ce que votre prestataire a fait et à quelle date. ## Questions fréquentes **Comment savoir si mon site utilise PHP ?** La source ne l'indique pas. Posez la question à votre hébergeur ou à la personne qui a créé votre site : elle saura quelle technologie et quelle version sont installées. **Ces failles sont-elles graves ?** Le CERT-FR parle de deux vulnérabilités critiques. Elles permettent, selon PHP, l'exécution de code arbitraire à distance, c'est-à-dire de faire tourner des instructions étrangères sur le serveur. **Où trouver les correctifs ?** Selon le CERT-FR, les correctifs de sécurité sont disponibles sur le site de l'éditeur PHP. C'est à votre prestataire technique de les installer. **Mon site utilise une vieille version de PHP, que faire ?** Pour les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, dont l'éditeur n'assure plus le support, le CERT-FR recommande d'isoler les équipements puis de migrer vers une version maintenue et à jour. ## Sources - CERT-FR (ANSSI) : [[Màj] Multiples vulnérabilités dans PHP - CERT-FR](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014)