Failles critiques dans PHP : ce qu'il faut faire aujourd'hui
Le 20 octobre, CERT-EU, l'équipe de cybersécurité des institutions européennes, a publié l'avis 2026-018. Il porte sur deux failles dans PHP, référencées CVE-2026-109618 et CVE-2026-109619. Toutes deux ont un score CVSS de 9,2. Selon l'avis, un attaquant pourrait exécuter du code sur un serveur via ces failles sans s'authentifier. L'équipe PHP publie une mise à jour de sécurité le 21 octobre à 14h00 UTC (16h00 heure de Paris). Les détails techniques ne sont pas encore publics.
Pourquoi votre organisation est aussi concernée
PHP est le langage de programmation derrière une grande partie du web. WordPress repose dessus, tout comme de nombreuses boutiques en ligne, portails clients, intranets, webmails et panneaux d'administration d'hébergement. Selon CERT-EU, toutes les versions de PHP à partir de PHP 5 peuvent être touchées. Un vieux site que personne n'a modifié depuis des années compte donc aussi.
Une faille qui permet d'exécuter du code sans se connecter est typiquement exploitée à grande échelle quelques jours après le correctif. Les attaquants comparent l'ancienne et la nouvelle version et voient exactement où se trouvait le problème. Le délai entre la mise à jour et les premières attaques est donc court.
Ce qu'il faut faire aujourd'hui
- Dressez la liste de tout ce qui peut tourner sous PHP : site web, boutique en ligne, portail client, webmail et panneau d'administration de votre hébergement. En cas de doute, demandez à votre développeur web ou à votre hébergeur.
- Demandez à votre hébergeur s'il applique la mise à jour PHP après 16h00 heure de Paris, et quand. En hébergement mutualisé, il s'en charge généralement ; sur votre propre serveur ou VPS, c'est souvent à vous de le faire.
- Installez la mise à jour dès qu'elle est disponible. N'attendez pas la prochaine fenêtre de maintenance.
- Si la mise à jour ne peut pas être faite rapidement, retirez temporairement l'application d'internet ou placez-la derrière une authentification. C'est aussi ce que recommande CERT-EU.
- Notez ce que vous avez fait et quand. Si votre organisation relève de NIS2, ou si un client demande une preuve de votre sécurité, vous l'aurez sous la main.
Et Stilops
Stilops n'utilise pas PHP. Nous avons vérifié notre code et la configuration de nos serveurs au regard de l'avis, et PHP n'y figure pas. Pour les clients de Stilops, cette faille ne change donc rien au service. Pour les fournisseurs que nous utilisons nous-mêmes, nous suivons leurs mises à jour.
Un agent Stilops peut toutefois aider à la première étape : à partir de ce que vous lui dites de votre site et de vos systèmes, il dresse la liste de ce qui peut tourner sous PHP et prépare pour chaque élément un message à votre hébergeur ou développeur web. C'est vous qui l'envoyez, comme toujours après votre accord.