L’équipe de sécurité de PHP a publié le 21 octobre les correctifs de deux failles critiques, notées 9,2 sur 10. Elles permettent à un attaquant de prendre le contrôle d’un serveur à distance, sans identifiant. PHP fait tourner la grande majorité des sites : WordPress, WooCommerce, PrestaShop, Joomla, Drupal… Voici ce qu’il faut savoir, et ce que vous devez faire maintenant.

Ce que l’on sait

Le 21 octobre, l’équipe de sécurité de PHP a publié un avis sans ambiguïté : « mettez à jour immédiatement ». Les deux failles, notées 9,2 sur 10 (CVSS v4.0), permettent une exécution de code à distance sans authentification. Une simple requête web, envoyée par n’importe qui, peut suffire à faire exécuter des commandes à votre serveur.

• CVE-2026-109618 : quand PHP manque de mémoire, il peut s’interrompre au milieu du traitement d’une requête, puis réutiliser des données à moitié préparées comme si elles étaient valides.
• CVE-2026-109619 : des données internes d’une requête peuvent survivre après avoir été libérées. La requête suivante, traitée par le même processus, peut alors les réutiliser.

Selon PHP, le risque est le plus élevé avec Apache et mod_php : une attaque y a été démontrée avant même que le code de votre site ne s’exécute. Les autres configurations (PHP-FPM, php-cgi, LiteSpeed, FrankenPHP) sont aussi touchées. Des détails avaient fuité avant la publication : attendez-vous à des attaques automatisées dans les jours qui viennent.

Votre site est-il concerné ?

Si votre site fonctionne avec PHP, oui. D’après PHP, toutes les installations qui servent des pages web sont concernées. C’est le cas de WordPress, WooCommerce, PrestaShop, Joomla, Drupal et de la plupart des sites développés sur mesure.

Le point décisif est votre version de PHP :

• PHP 8.2, 8.3, 8.4 ou 8.5 : vous devez être au moins en 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. En dessous, votre site est vulnérable.
• PHP 8.1, 8.0, 7.x ou plus ancien : ces versions ne sont plus maintenues et n’auront pas de nouvelle version officielle. PHP a mis à disposition un correctif minimal pour 7.4, 8.0 et 8.1, mais c’est à votre hébergeur de l’intégrer. Pour les versions plus anciennes, il faut passer à une version récente.

Comment connaître votre version de PHP

• WordPress : menu Outils → Santé du site → Informations, rubrique Serveur.
• PrestaShop : menu Paramètres avancés → Informations.
• Dans tous les cas : l’espace client de votre hébergeur indique la version de PHP de chaque site (OVHcloud, o2switch, Ionos, Hostinger…).

Ce que vous devez faire maintenant

1. Vérifiez votre version de PHP, comme indiqué ci-dessus.
2. Hébergement mutualisé (le cas le plus courant) : c’est votre hébergeur qui met PHP à jour. Vérifiez que le numéro de version a bien changé, ou interrogez son support. Serveur dédié ou VPS : c’est à vous, ou à votre prestataire, d’installer la mise à jour sans attendre. Les distributions Linux ont reçu les correctifs en avance : des paquets à jour sont disponibles.
3. Si vous êtes en PHP 8.1 ou plus ancien : demandez à votre hébergeur s’il a appliqué un correctif pour votre version. Sinon, passez en PHP 8.3 ou plus récent au plus vite. Testez d’abord : un thème ou une extension trop anciens peuvent casser le site au changement de version.
4. Faites une sauvegarde complète maintenant (fichiers et base de données), et gardez-en une copie hors du serveur.
5. Restez attentif dans les jours qui viennent : administrateur inconnu dans votre back-office, fichiers PHP que vous n’avez pas ajoutés, redirections vers des sites étrangers, alerte de Google ou de votre hébergeur. Ce sont les signes d’un site compromis.

Bon à savoir : PHP 8.2 ne recevra plus de correctifs de sécurité après le 31 décembre 2026. Si votre site est en 8.2, profitez-en pour prévoir le passage en 8.3 ou plus récent d’ici la fin de l’année.

Pour être prévenu le jour même des prochaines failles critiques, inscrivez-vous aux alertes ci-dessous.

Sources : avis de sécurité de PHP du 21 octobre 2026 ; avis techniques CVE-2026-109618 et CVE-2026-109619.