🚨 Alerte vulnérabilités critiques PHP

Ce que l’on sait (21/10/2026 – 12h)

Les deux failles permettraient une exécution de code à distance, c’est-à-dire la prise de contrôle d’un serveur. Les premiers signalements évoquent une exploitation possible sans authentification.
PHP publie aujourd’hui une version de sécurité hors cycle, à 16h00 heure Française.
Aucune exploitation active n’est signalée à ce stade.
Les versions affectées, le composant en cause et les conditions d’exploitation seront précisés à la publication. La mention de « toutes les versions depuis PHP 5 », issue d’une fuite, n’est pas confirmée officiellement mais il est recommandé de la prendre en compte par précaution.

⚠️ Le point d’attention majeur
Seules les branches 8.2 à 8.5 recevront un correctif. Les versions 8.1 et antérieures sont en fin de vie. Si elles sont touchées, elles resteront sans patch. Selon un relevé Shodan, environ 884 000 serveurs exposés afficheraient une version 8.1 ou plus ancienne.

⏱️ Pourquoi les prochaines heures comptent
Dès la publication d’un correctif, les attaquants l’analysent pour comprendre la faille, puis ciblent les systèmes non mis à jour. En 2024, la faille PHP CVE-2024-4577 a fait l’objet de tentatives d’exploitation en moins de 24 heures.

✅ Ce que nous recommandons

Inventorier : serveurs, applications, CMS, appliances et panneaux d’hébergement qui embarquent PHP, avec leurs versions.
Se préparer à mettre à jour dès 16h00, en commençant par les systèmes exposés sur Internet. Si possible, dé-exposer les applications vulnérables exposées à Internet.
Votre site est géré par un prestataire ou un hébergeur ? Interrogez-le dès aujourd’hui sur son plan d’action.
Pour les versions en fin de vie : migrer ou restreindre l’accès (VPN, WAF), voire isoler temporairement, comme le suggère le CERT-EU (https://cert.europa.eu/publications/security-advisories/2026-018/). Adaptez la mesure à la criticité du service, car une isolation entraîne une interruption.
Surveiller : alertez si php-fpm, php-cgi ou apache2 lance un shell ou un outil de téléchargement.

Deux erreurs à éviter : ignorer l’alerte parce qu’aucune attaque n’est confirmée, ou croire que tout site PHP est déjà compromis. Utiliser PHP ne suffit pas à rendre un site vulnérable. Tout dépendra de la version et de la configuration.

Le CERT Brightway suit la situation et mettra cette alerte à jour à la publication de l’avis officiel.

Mise à jour (16h15):

PHP a publié cet après-midi les correctifs des deux vulnérabilités critiques annoncées ce matin (disponibles ici). Leurs identifiants sont désormais confirmés : CVE-2026-109618 et CVE-2026-109619.

🔎 Ce que l’on sait désormais

Les deux failles permettent une exécution de code à distance, sans authentification.
Toute installation PHP qui traite des requêtes web est concernée : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Les configurations mod_php sont les plus exposées.
Un exploit fonctionnel a été démontré. Une seule requête non authentifiée suffit, avant même l’exécution du code applicatif.

✅ Versions corrigées
PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

⚙️ Selon votre situation

Paquets de distribution Linux ou fournisseur LTS : les éditeurs ont reçu les correctifs en avance. Vérifiez dès maintenant la disponibilité des paquets mis à jour.
PHP 8.1 et versions antérieures (fin de vie) : migrez vers une branche supportée ou rapprochez-vous de votre fournisseur LTS. PHP met aussi à disposition des correctifs minimaux pour 7.4, 8.0 et 8.1, à compiler depuis les sources.
Dépôt Remi (rpms.remirepo.net) : aucune mise à jour n’y est attendue aujourd’hui. Passez aux paquets de votre distribution ou compilez depuis les sources.
Sites derrière Cloudflare : des règles WAF ciblant les vecteurs d’exploitation connus sont déjà déployées, y compris en offre gratuite. C’est une protection d’appoint, pas un substitut au correctif.
Systèmes impossibles à corriger immédiatement : le NCSC britannique recommande d’envisager leur mise hors ligne.

⚠️ La fenêtre de risque s’ouvre maintenant. Un exploit existe et les correctifs sont publics, ce qui permet aux attaquants de cibler rapidement les serveurs non mis à jour. Priorité absolue aux systèmes exposés sur Internet, sans oublier les applications « oubliées » et les équipements qui embarquent PHP.