Deux failles critiques de PHP permettent de prendre le contrôle d’un serveur web à distance, sans le moindre identifiant. Corrigées le 21 octobre, elles concernent une part considérable du web, puisque PHP fait tourner WordPress et la plupart des sites de commerce en ligne. Selon Reuters, Cloudflare a déjà observé des millions de tentatives d’attaque.
Pour un propriétaire de site, la question est simple : ma version de PHP est-elle à jour ? Ce guide explique ce qui a été corrigé, comment vérifier sa version et quoi faire si elle est trop ancienne.
L’affaire met aussi en lumière la fragilité du projet. La PHP Foundation, qui finance une partie du développement du langage, ne compte qu’une seule salariée à temps plein.
Faille PHP : ce qui a été corrigé
Les deux failles portent les références CVE-2026-109618 et CVE-2026-109619. Elles obtiennent une note de 9,2 sur 10, et non 10 comme cela avait circulé avant leur publication. Les deux exploitent des erreurs de gestion de la mémoire.
La première survient quand une requête atteint la limite de mémoire autorisée au mauvais moment, laissant des données internes à moitié initialisées. La seconde laisse un état interne pointer vers la mémoire d’une requête précédente. Dans les deux cas, un attaquant peut faire exécuter son propre code par le serveur.
Les configurations Apache avec le module mod_php sont les plus exposées : l’attaque y a été démontrée avec les réglages par défaut. Les serveurs sous PHP-FPM, très répandus chez les hébergeurs, sont aussi concernés, mais selon le code de l’application. Nous avons détaillé le fonctionnement des deux failles lors de leur publication.
Les versions corrigées
Le projet PHP a publié quatre versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Toute version antérieure de ces branches doit être mise à jour.
Les branches PHP 8.1 et plus anciennes ne reçoivent plus de correctifs officiels. Certaines distributions Linux et certains fournisseurs de support étendu peuvent toutefois proposer leurs propres correctifs. Une troisième faille, CVE-2026-115560, a fait l’objet d’un simple avis d’information.
Comment vérifier la version de PHP de son site
Sur un site WordPress, la méthode la plus simple passe par l’administration. Dans Outils, puis Santé du site, onglet Informations, la section Serveur affiche la version de PHP utilisée. Le tableau de bord de nombreux hébergeurs indique aussi cette information, souvent dans une rubrique consacrée à PHP ou à la configuration du site.
Les administrateurs qui ont accès au serveur peuvent taper la commande php -v. Attention toutefois : la version affichée en ligne de commande n’est pas toujours celle utilisée par le site web, qui peut passer par PHP-FPM avec une version différente. Une page temporaire contenant la fonction phpinfo() donne la version réellement utilisée, à condition de la supprimer aussitôt.
Il faut comparer le numéro obtenu avec les versions corrigées. Un site en PHP 8.3.30, par exemple, est vulnérable : la version minimale sûre de cette branche est la 8.3.36.
Mettre à jour PHP selon son hébergement
Sur un hébergement mutualisé, la mise à jour dépend de l’hébergeur. La plupart appliquent les correctifs de sécurité automatiquement, mais il est prudent de le vérifier et, au besoin, de contacter le support. Si le site utilise encore 8,1 PHP ou une version plus ancienne, il faut passer à une branche maintenue depuis le tableau de bord, après avoir vérifié la compatibilité des extensions.
Sur un serveur dédié ou un VPS, il faut installer la mise à jour via le gestionnaire de paquets de la distribution, puis redémarrer PHP-FPM ou Apache pour que la nouvelle version soit prise en compte. Les images DockerDocker est une plateforme de développement qui facilite la création, le déploiement et l'exécution d'applications dans des conteneurs logiciels. Lire la fiche doivent être reconstruites à partir d’une image de base à jour.
Si la mise à jour ne peut pas être faite immédiatement, l’agence américaine NSA recommande de mettre les systèmes exposés hors ligne. Plusieurs administrations européennes ont d’ailleurs coupé certains sites par précaution le jour de la publication des correctifs.
Une seule salariée pour un langage qui fait tourner le web
L’incident a mis en lumière les moyens limités de la PHP Foundation. Sa directrice, Elizabeth Barron, a indiqué à Reuters qu’elle était la seule employée à temps plein, entourée de 14 prestataires travaillant surtout à temps partiel. Le budget annuel de la fondation avoisinerait 973 000 dollars.
Ces failles, vieilles de plus de dix ans, ont été découvertes grâce à des outils d’intelligence artificielle. La fondation souligne que l’IA aide à repérer les bugs, mais qu’elle alourdit aussi la charge de travail des mainteneurs, submergés de rapports à trier.
La fondation a renforcé son organisation, avec une équipe dédiée à la sécurité créée en mai et des audits confiés à des spécialistes. Reste à savoir si les entreprises et les hébergeurs qui reposent sur PHP accepteront enfin de financer davantage un langage dont dépend une grande partie d’Internet.
