Deux failles critiques dans PHP, le moteur de millions de sites Internet : l’alerte du 21 octobre 2026 rappelle qu’un site web ne se sécurise pas une fois pour toutes. La bonne nouvelle ? Des correctifs existent déjà. La moins bonne ? Même des versions récentes étaient concernées.
Pourquoi cette alerte est-elle sérieuse ?
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 peuvent permettre, dans certaines conditions, l’exécution de code à distance sans authentification sur un serveur vulnérable. En clair, le risque ne se limite pas à un affichage défectueux : un attaquant pourrait tenter d’exécuter des instructions sur le serveur qui héberge un site.
Le CERT-FR et Cybermalveillance.gouv.fr ont relayé l’alerte. Les mises à jour de sécurité ont été publiées le 21 octobre. Il ne faut donc pas attendre qu’un site présente des symptômes pour agir.
PHP 8.3, 8.4 ou 8.5 : une version récente ne suffit pas
Le point important est le numéro de version complet. Les premières versions corrigées sont :
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Les versions antérieures de ces branches sont concernées, tout comme les anciennes branches qui ne reçoivent plus de correctifs officiels. Être simplement en « PHP 8.3 » ne garantit donc rien : PHP 8.3.35, par exemple, reste vulnérable à ces deux failles.
Chez Pixel IS, une habitude qui change tout
Nous développons et maintenons des sites Internet, et nous privilégions depuis longtemps des versions de PHP encore maintenues, avec un parc de sites suivi à partir de PHP 8.3. Ce choix évite de découvrir, au moment d’une alerte, des applications bloquées sur des versions obsolètes difficiles à faire évoluer.
Cette fois encore, la vigilance reste nécessaire : ce n’est pas le passage ancien à PHP 8.3 qui protège, mais l’installation des derniers correctifs de cette branche. Le site Pixel IS lui-même fonctionne désormais sous PHP 8.3.36, version qui intègre les corrections publiées le 21 octobre.
Et pour les propriétaires de sites WordPress ?
WordPress, ses extensions et son thème doivent bien sûr être maintenus, mais cela ne remplace pas la mise à jour du moteur PHP fourni par l’hébergeur. Vérifier ce moteur, préparer une sauvegarde exploitable, appliquer les correctifs et tester le bon fonctionnement du site font partie du suivi normal d’un hébergement.
Si votre site tourne encore sur une ancienne version non maintenue, ce n’est pas une raison pour cliquer au hasard sur « mettre à jour » : mieux vaut contrôler la compatibilité des extensions et organiser la migration. En revanche, pour une version vulnérable, le correctif de sécurité ne doit pas être reporté inutilement.
La cybersécurité, ce n’est pas seulement réagir à la dernière faille à la mode : c’est entretenir régulièrement les systèmes pour pouvoir corriger rapidement lorsqu’une alerte tombe. C’est aussi cette maintenance discrète qui compte dans la gestion des sites suivis par Pixel IS.
Sources officielles
PHP : annonces des versions corrigées du 21 octobre 2026
CERT-FR : multiples vulnérabilités dans PHP
Cybermalveillance.gouv.fr : alerte PHP
