Failles critiques dans PHP : pourquoi des sites publics ont été coupés
Deux failles critiques de PHP, corrigées le 21 octobre 2026, permettent une exécution de code à distance. Des sites publics ont été coupés par précaution.
L'essentiel
- Le CERT-FR a publié le 21 octobre 2026 une alerte sur deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, qui permettent une exécution de code à distance.
- Les correctifs sont disponibles depuis le 21 octobre 2026 à 16h00, heure de Paris.
- Les versions 5.x, 7.x, 8.0.x et 8.1.x ne sont plus maintenues ; les 8.2.x à 8.5.x doivent être mises à jour vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 au minimum.
- Le 22 octobre 2026, le CERT-FR indique connaître des preuves de concept pour des déploiements spécifiques.
Que s'est-il passé ?
Le 20 octobre 2026, PHP a publié une communication sur deux vulnérabilités critiques. Le CERT-FR, le centre de réponse aux incidents rattaché à l'ANSSI, a ouvert une alerte le 21 octobre 2026 : CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
L'éditeur a annoncé les correctifs pour le 21 octobre 2026 à 16h00, heure de Paris. Selon Le Figaro, citant le ministère de l'Intérieur, les sites des préfectures ont été mis hors ligne par précaution. TF1 Info indique que plus de 600 000 serveurs utilisent PHP en France.
Une mise hors ligne préventive n'est pas une attaque réussie. Elle vise à éviter qu'un site non corrigé soit exploité pendant les heures qui précèdent la mise à jour.
Votre site est-il concerné ?
Le bulletin du CERT-FR liste les versions affectées. La réponse dépend de la version de PHP utilisée par votre site, que vous pouvez demander à votre hébergeur si vous ne la connaissez pas.
| Version de PHP | Statut selon le CERT-FR |
|---|---|
| 5.x, 7.x, 8.0.x, 8.1.x | Plus supportées par l'éditeur : aucun correctif ne sera publié |
| 8.2.x | À mettre à jour vers 8.2.35 au minimum |
| 8.3.x | À mettre à jour vers 8.3.36 au minimum |
| 8.4.x | À mettre à jour vers 8.4.27 au minimum |
| 8.5.x | À mettre à jour vers 8.5.12 au minimum |
Le CERT-FR précise que ces contournements ne sont pas qualifiés par lui et ne réduisent la surface d'attaque que pour CVE-2026-109619. Ils ne remplacent pas le correctif.
Que faire si vous ne pouvez pas mettre à jour tout de suite ?
Le CERT-FR recommande d'isoler les équipements affectés, puis de migrer vers une version maintenue dès la publication du correctif. Pour un site qui ne peut pas être corrigé immédiatement, il décrit deux mesures : désactiver la fonction upload-progress dans php.ini, et bloquer les requêtes multipart au niveau du pare-feu applicatif.
Ces mesures sont techniques et destinées à des administrateurs. Un particulier qui utilise un site concerné n'a rien à installer : c'est au responsable du site d'agir.
Un message qui vous demande d'installer un « correctif PHP » ou de saisir vos identifiants pour « sécuriser votre compte » est suspect. Les mises à jour se font par l'éditeur, l'hébergeur ou le logiciel du site, jamais par un lien reçu par SMS ou courriel.
Vos mots de passe, votre IBAN, votre adresse circulent déjà sur des listes revendues. Voici lesquels, et sur quels sites.
Que faire ?
Questions fréquentes
PHP est un langage très utilisé pour faire fonctionner des sites web, dont ceux de collectivités, de petites entreprises et de nombreux blogs WordPress. Une faille dans PHP peut donc toucher beaucoup de sites à la fois.
Non. La vulnérabilité concerne les serveurs qui exécutent PHP, pas les ordinateurs ou téléphones des visiteurs. Ce sont les responsables de sites qui doivent appliquer le correctif.
Selon Le Figaro, citant le ministère de l'Intérieur, ils ont été mis hors ligne par précaution dans l'attente du correctif. Le bulletin du CERT-FR ne rapporte pas de compromission de ces sites.
Un visiteur ne peut pas le savoir depuis son navigateur. Si vous gérez le site, demandez la version à votre hébergeur ; si vous êtes client d'un prestataire, interrogez-le.
Pour aller plus loin
Sources
- CERT-FR (ANSSI) : Bulletin d'alerte CERTFR-2026-ALE-014 : multiples vulnérabilités dans PHP (21 octobre 2026)
- Le Figaro : Une partie de l'Internet mondial mise à l'arrêt après la découverte de failles critiques dans le langage informatique PHP (21 octobre 2026)
- TF1 Info : Vulnérabilité critique : les sites internet des préfectures rendus inaccessibles par une faille de sécurité mondiale (21 octobre 2026)
Article informatif. Les chiffres sont ceux communiqués par les sources citées à la date de publication et peuvent évoluer.