// CLUBIC — CYBERSECURITY
Deux failles critiques menacent des millions de sites PHP, une mise à jour d’urgence arrive ce mercredi après-midi
PHP publiera ce mercredi 21 octobre à 16 h une mise à jour d’urgence pour corriger deux failles critiques. C'est une fuite qui a précipité l’annonce, et les anciennes versions du langage pourraient rester sans correctif.
Mise à jour d'urgence en vue pour PHP. Ce mercredi 21 octobre à 16 heures, les équipes du langage de programmation open source vont publier une mise à jour d'urgence pour corriger deux failles critiques, un rendez-vous qui ne concerne d'ailleurs pas que les développeurs. La team de sécurité du projet l'a annoncé la veille au soir dans un avis plutôt laconique, après qu'une fuite a éventé l'affaire plus tôt que prévu. Ce que l'on sait suffit déjà à inquiéter, puisque des millions de sites, de WordPress aux boutiques en ligne, pourraient être visés très vite après la publication.
Comme le rapporte Frandroid ce matin, tout est parti d'une indiscrétion. La veille, mardi, peu avant l'annonce officielle, un utilisateur de Hacker News, le forum tech de l'incubateur Y Combinator, a vendu la mèche en évoquant deux failles dans PHP. Son message a disparu depuis, mais le site spécialisé BleepingComputer a eu le temps de le lire. Il y était question d'une divulgation prévue le jeudi 22 octobre et d'une gravité maximale, de 10 sur 10, excusez du peu.
Les deux failles sont référencées CVE-2026-109618 et CVE-2026-109619. Il s'agit, pour les non initiés, de leur matricule dans le registre public qui recense les vulnérabilités informatiques. Elles seraient de type « exécution de code à distance », ou RCE dans le jargon, c'est-à-dire qu'un cybercriminel pourrait faire exécuter ses propres commandes à un serveur sans y avoir été invité, et donc en prendre le contrôle. La fuite aurait même compris une vidéo, certes non authentifiée, d'un outil baptisé PHP2Shell faisant tourner du code sur des sites WordPress, Drupal, Magento ou Joomla.
PHP a choisi de ne pas attendre. Le correctif tombera donc à 14 heures UTC, 16 heures ici en France métropolitaine, moins d'une journée après l'alerte. L'avis officiel n'en dit pas beaucoup plus. Il confirme deux vulnérabilités critiques notées 9,2 sur 10 selon la grille CVSS v4.0, l'échelle de référence pour mesurer la gravité d'une faille. En revanche, il garde pour lui les versions touchées et le mode d'exploitation. Personne n'explique encore l'écart avec le 10 avancé par la fuite.
Si l'alerte mobilise autant, c'est que PHP reste, plus de trente ans après sa création, l'un des piliers techniques du Web. D'après W3Techs, qui mesure les technologies utilisées sur le Web, PHP équipe 69,3 % des sites dont on connaît le langage côté serveur, des blogs WordPress aux sites marchands. Or les détails techniques des failles seront publiés en même temps que les correctifs, donc les défenseurs et attaquants partiront sur la même ligne. On peut toutefois redouter des attaques massives dans le quart d'heure suivant. Et il reste la question des anciennes versions !
Dans le détail, le projet ne maintient plus que quatre branches, de PHP 8.2 à PHP 8.5, c'est-à-dire les seules versions qui reçoivent encore des correctifs. Or, selon la société de cybersécurité watchTowr, les failles toucheraient PHP 5, 6, 7 et 8. À noter que PHP 6 n'est jamais sorti en version stable. Mais si elle se vérifie, l'addition sera lourde, car au 20 octobre 2026, toujours selon W3Techs, 27 % des sites PHP tournaient encore sous PHP 7 et 7,7 % sous PHP 5, une version de… 2004. Plus d'un site PHP sur trois se retrouverait alors sans correctif officiel.
D'ici 16 heures, c'est très simple, on ne peut que vous encourager à vérifier votre version de PHP en tapant la commande php -v sur le serveur, puis à réserver un créneau de maintenance dans l'après-midi. Si votre site est sur un hébergement mutualisé, c'est-à-dire un serveur partagé loué à un hébergeur, la mise à jour dépend de lui : demandez-lui quand il compte l'appliquer.
Les versions corrigées seront annoncées à 16 heures dans les actualités de php.net, sauf si PHP avance encor