CULLETTIVITÀ DI CORSICA   COLLECTIVITÉ DE CORSE

Centre de cyber sécurité

En cas d’urgence: 04 20 97 00 97

Bulletin de veille 2026#13 Faille critique dans PHP

par | 21 Oct 2026

🛡️ CSIRT CyberCorsica · Alerte · 21 octobre 2026
Faille critique dans PHP : votre site web est peut-être concerné
TLP:CLEAR  Diffusion libre

🚨 CRITIQUE · Correctif attendu aujourd’hui à 16h

⏱️ L’essentiel en 30 secondes
  • PHP est le langage qui fait fonctionner une grande partie des sites web (dont WordPress). Deux failles critiques viennent d’y être annoncées.
  • Elles pourraient permettre à un pirate de prendre le contrôle d’un site à distance. Les détails techniques ne sont pas encore publics.
  • Le correctif sort aujourd’hui, 21 octobre, à 16h (heure de Paris). Ce n’est pas à vous de l’installer : c’est l’affaire de votre hébergeur ou de votre webmaster.
  • Votre action : leur demander, dès aujourd’hui, de mettre PHP à jour dès que le correctif est disponible. Un message à copier est proposé plus bas.

🔎 Ce qui se passe

Le 20 octobre, l’équipe de PHP a annoncé deux vulnérabilités qualifiées de critiques (CVE-2026-109618 et CVE-2026-109619), notées 9,2 sur 10 pour la gravité. Le CERT-FR (l’organisme d’alerte de l’État) a publié une alerte officielle (CERTFR-2026-ALE-014) et le CERT-EU, son équivalent européen, parle d’un risque d’exécution de code à distance : un pirate pourrait faire exécuter ses propres commandes par le serveur qui héberge votre site.

L’alerte est inhabituelle sur deux points. D’abord, des informations ont fuité avant la sortie du correctif : un outil d’attaque aurait déjà été aperçu, et un éditeur de sécurité affirme avoir reproduit l’une des failles. Ensuite, le correctif n’existe pas encore : il est annoncé pour 16h aujourd’hui, et des spécialistes redoutent des attaques massives dans les minutes qui suivent sa publication.

Ce que cela veut dire pour vous : si votre association, votre commune ou votre commerce a un site internet, un site de réservation ou une boutique en ligne, il tourne très probablement sur PHP. Une fois attaqué, un site peut être défiguré, servir à voler les données de vos adhérents ou administrés, ou être utilisé pour envoyer de faux messages en votre nom.

🧭 Comment se déroule la journée

1 · Maintenant. Les failles sont connues des équipes de sécurité, mais pas encore corrigées. Aucune attaque en cours n’a été signalée à ce stade, d’après les sources consultées.
2 · 16h (heure de Paris). PHP publie le correctif pour ses versions encore maintenues (8.2 à 8.5) et dévoile les détails techniques.
3 · Dans les heures qui suivent. Les hébergeurs et webmasters installent la mise à jour. Les pirates, eux, cherchent les sites pas encore à jour : plus la mise à jour est rapide, moins le risque est élevé.
4 · Cas particulier : sites anciens. Pour les versions de PHP 8.1 et antérieures, aucun correctif officiel n’est prévu. Le site doit être migré vers une version récente. C’est le cas le plus à risque pour les sites oubliés ou jamais mis à jour.

✅ Actions immédiates par ordre de priorité

Choisissez le profil qui vous ressemble.

👤 Je n’ai pas d’informaticien
  1. Listez vos sites : site de l’association ou de la mairie, billetterie, boutique en ligne, espace adhérents.
  2. Écrivez aujourd’hui à qui s’en occupe (hébergeur, webmaster, agence) avec le message ci-dessous. Vous n’avez rien à installer vous-même.
  3. Si votre site est sous WordPress : dans l’administration, menu « Outils » puis « Santé du site » puis onglet « Info » puis « Serveur » : la version de PHP y est indiquée. Si elle commence par 7 ou par 8.0 ou 8.1, signalez-le à votre prestataire.
  4. Méfiance : ces jours-ci, ne cliquez sur aucun message « mise à jour PHP urgente » reçu par email ou SMS. Les vraies mises à jour se font côté hébergeur.
🤝 Je fais appel à un prestataire ou à un hébergeur

Copiez-collez ce message :

« Bonjour, deux failles critiques ont été annoncées dans PHP (CVE-2026-109618 et CVE-2026-109619, alerte CERT-FR CERTFR-2026-ALE-014). Le correctif est attendu le 21 octobre à 16h. Pouvez-vous me confirmer : 1) quelle version de PHP fait tourner mon site, 2) que la mise à jour sera appliquée dès la sortie du correctif, 3) si ma version n’est plus maintenue (8.1 ou antérieure), sous quel délai vous pouvez la migrer ? Merci de me tenir informé. »
🖥️ J’ai une équipe informatique
  1. Recensez tout ce qui exécute PHP et est accessible depuis Internet : sites, CMS (WordPress, Joomla, Drupal), outils métiers web, intranets exposés.
  2. Avant 16h : appliquez si possible les contournements provisoires décrits dans le bloc technique ci-dessous, en priorité sur les serveurs exposés.
  3. Dès 16h : installez le correctif sur les branches 8.2 à 8.5, puis redémarrez PHP-FPM ou le serveur web pour que la correction soit réellement chargée.
  4. Versions non maintenues (5.x, 6.x, 7.x, 8.0, 8.1) : le CERT-FR recommande d’isoler les équipements concernés, puis de migrer vers une version maintenue.
  5. Après correction : conservez et examinez les journaux d’accès depuis le 20 octobre, et recherchez des fichiers inhabituels dans les dossiers du site.

🔧 Détail technique pour les équipes informatiques (cliquer pour déplier)

Références : CERTFR-2026-ALE-014 ; CVE-2026-109618 et CVE-2026-109619 ; score CVSS v4.0 de 9,2 pour chacune selon l’équipe de sécurité de PHP, tel que relayé par le CERT-EU (le CERT-FR indique « risque non spécifié par l’éditeur »).

Versions concernées (CERT-FR) : PHP 5.x, 6.x, 7.x et 8.x. Correctifs officiels annoncés pour 8.2 à 8.5 uniquement. Les versions 8.0 et 8.1 ne sont plus supportées. La branche 8.2 ne recevra elle-même des correctifs de sécurité que jusqu’au 31 décembre 2026 : à prévoir dans vos migrations.

Ce qui reste à confirmer : la nature précise des failles (exécution de code à distance d’après le CERT-EU et des éditeurs de sécurité), les conditions d’exploitation et les numéros de versions corrigées ne sont pas publiés par PHP à ce stade. Les numéros de versions qui circulent sont non officiels : attendez l’annonce de 16h.

Contournements provisoires (non qualifiés par le CERT-FR) :

  1. Dans php.ini : session.upload_progress.enabled = Off, et avec PHP-FPM : php_admin_flag[session.upload_progress.enabled] = off. Cette mesure ne réduit la surface d’attaque que pour l’une des deux vulnérabilités et désactive le suivi de progression des téléversements.
  2. Bloquer, ou à défaut superviser, les requêtes HTTP dont l’en-tête Content-Type est de type multipart, par exemple via un pare-feu applicatif (WAF). Attention : ce blocage empêchera aussi les envois de fichiers légitimes (formulaires avec pièce jointe, médiathèque).

📚 Sources

Source Contenu
CERT-FR · CERTFR-2026-ALE-014 Alerte officielle, versions concernées, contournements
CERT-EU · 2026-018 Alerte européenne, identifiants CVE et score
PHP.net · communication du 20 octobre 2026 Annonce de la publication des correctifs
Sansec et watchTowr Analyses indépendantes, confirmation de la fuite et du caractère réel des failles

Situation au 21 octobre 2026, avant la publication du correctif. Ce bulletin sera complété dès l’annonce officielle de 16h.

Une question, un doute, une attaque en cours ?
📧 contact@cyber.corsica  |  ☎️ 04 20 97 00 97  |  🌐 cyber.corsica
Bulletin destiné aux entreprises, associations et collectivités de Corse, bénéficiaires du CSIRT CyberCorsica. Scan de vulnérabilités de votre surface exposée sur Internet offert sur simple demande.