Des correctifs d'urgence pour PHP

PHP doit publier des correctifs de sécurité d'urgence mercredi 21 octobre, à 16 h à Paris (14 h UTC), pour corriger deux vulnérabilités critiques. Ces correctifs visent à résoudre des failles qui pourraient permettre à des attaquants d'exécuter du code arbitraire à distance.

Des vulnérabilités qui touchent une grande part des sites web

Les vulnérabilités, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, sont classées comme très graves. PHP leur attribue une note de 9,2 sur 10 selon la norme CVSS v4.0, bien que certaines sources avancent une note maximale de 10. Selon les données de W3Techs, ces failles pourraient toucher 69,3 % des sites web utilisant PHP comme langage côté serveur.

La fuite des détails précède l'annonce officielle

Les détails des vulnérabilités ont fuité avant l'annonce officielle. Un utilisateur nommé « petecooper » a publié sur Hacker News, le 20 octobre, un message révélant l'existence de deux failles d'exécution de code à distance (RCE) dans PHP. Ce message a ensuite été supprimé, mais certains médias, dont BleepingComputer, ont pu en consulter le contenu avant l'annonce officielle.

Les anciennes versions de PHP restent très utilisées

Selon watchTowr, les vulnérabilités touchent plusieurs versions de PHP, notamment PHP 5, 6, 7 et 8. Bien que PHP 6 n'ait jamais été officiellement publiée, l'usage répandu d'anciennes versions comme PHP 7 et PHP 5, toutes deux désormais non prises en charge, suscite des inquiétudes. Au 20 octobre, 27 % des sites PHP utilisaient encore PHP 7, et 7,7 % utilisaient PHP 5, une version datant de 2004.

Correctifs et risques d'attaque publiés simultanément

PHP prévoit de publier les détails techniques des vulnérabilités en même temps que les correctifs. Des chercheurs de Sansec, une société de sécurité spécialisée dans le commerce électronique, préviennent que des attaquants pourraient tenter d'exploiter les failles dans les 15 minutes suivant leur divulgation. Les administrateurs de sites sont invités à vérifier leur version de PHP à l'aide de la commande php -v et à planifier les mises à jour pendant une fenêtre de maintenance. Les versions corrigées seront publiées sur php.net à 16 h, heure de Paris.