Failles critiques PHP : PME et communes doivent patcher leurs serveurs web

Le projet PHP a publié le 21 octobre des correctifs d’urgence pour deux failles critiques PHP baptisées « PHP2Shell ». Elles permettent de prendre la main sur un serveur web sans authentification. Sites vitrines, extranets et portails citoyens sont concernés.

Mercredi 21 octobre, vers 14 h UTC (16 h à Paris), l’équipe de sécurité de PHP a mis en ligne les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 du langage. Elles corrigent deux vulnérabilités référencées CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 selon le barème CVSS v4.0. L’enjeu est massif : d’après W3Techs, cité par Cryptoast, près de 70 % des sites dont la technologie serveur est identifiée tournent sous PHP, socle de WordPress, Drupal, Joomla ou Magento.

PHP2Shell : deux portes d’entrée dans le moteur de PHP

Une divulgation précipitée par une fuite

Le 20 octobre, un message posté sur le forum Hacker News annonçait deux failles d’exécution de code à distance (RCE) pour le 22, avec une note de 10. La société watchTowr a aussitôt confirmé leur réalité, rapporte Génération NT. Le soir même, l’équipe PHP a fixé la sortie des correctifs au lendemain.

Une simple requête anonyme suffit

Les deux bugs se logent dans le traitement d’une requête web, avant même l’exécution du code du site. Le premier (CVE-2026-109618) touche la gestion d’un épuisement de mémoire, qui peut laisser PHP manipuler des données corrompues. Le second (CVE-2026-109619) laisse l’état d’une requête survivre à la libération de la mémoire : la requête suivante peut alors le réutiliser.

Selon l’avis officiel, toute installation qui sert des pages web est exposée : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Le risque est maximal avec mod_php, où un exploit sans authentification a été démontré. Les chercheurs ont aussi pu lire la mémoire des processus PHP et y récupérer mots de passe ou clés d’API, selon The Hacker News.

Failles critiques PHP : les versions à installer

Les correctifs couvrent les quatre branches encore maintenues :

• PHP 8.5 : version 8.5.12 ;
• PHP 8.4 : version 8.4.27 ;
• PHP 8.3 : version 8.3.36 ;
• PHP 8.2 : version 8.2.35, une branche qui atteindra sa fin de vie le 31 décembre 2026, rappelle php.net.

Le code fautif date de plus de dix ans et quasiment toutes les versions depuis PHP 5.4 seraient touchées, d’après The Hacker News. Les branches 7.4, 8.0 et 8.1, qui ne sont plus maintenues, ont reçu des correctifs minimaux. Sous Linux, Debian conseille de chercher les CVE dans le journal du paquet plutôt que de se fier au numéro de version. Le projet PHP est net : aucun contournement n’est complet, seule la mise à jour protège.

Ce que ça change pour les entreprises et les communes

Mettre à jour WordPress ne suffit pas

Pour une PME ou une mairie, les points d’exposition sont nombreux : site vitrine, boutique en ligne, extranet, intranet, portail de démarches. La faille se situe dans l’interpréteur, pas dans le CMS : mettre à jour WordPress ou ses extensions ne corrige rien. Il faut mettre à jour PHP sur le serveur puis redémarrer Apache et PHP-FPM. En mutualisé, l’opération revient à l’hébergeur ; sur un serveur dédié ou installé dans les locaux, à l’organisation ou à son prestataire. D’où l’intérêt d’une politique de sécurité informatique qui inclut le suivi des correctifs, y compris pour les systèmes d’information des collectivités.

Premières tentatives d’attaque, services publics coupés

Cloudflare dit avoir repéré des premières tentatives d’attaque et ajouté des règles de filtrage à son pare-feu applicatif (WAF). Aux Pays-Bas, plusieurs services publics en ligne, dont l’identifiant DigiD, ont été coupés par précaution, selon la NOS citée par The Hacker News. Un signal pour les administrations françaises, déjà visées par les attaques DDoS prorusses contre les villes et services de l’État.

La France très visible, des chiffres à relativiser

Un recensement d’Infrawatch, relayé par Cryptoast, attribue à la France environ 6,6 millions des 11 millions de services PHP détectés sur Internet. Un total gonflé par Freebox OS, l’interface des box de Free. Rien ne montre à ce stade que ces box sont vulnérables, souligne le média.

Les réflexes à adopter dès maintenant

• Inventoriez vos services web en PHP, y compris les environnements de test oubliés.
• Demandez une confirmation écrite à votre hébergeur ou agence web : PHP corrigé et services redémarrés.
• Mettez à jour puis redémarrez les services. En 7.4, 8.0 ou 8.1, appliquez les correctifs rétroportés et planifiez une migration.
• Isolez d’Internet ce qui ne peut pas être corrigé tout de suite : les réglages provisoires de PHP (session.upload_progress désactivé, requêtes limitées) et un WAF réduisent le risque sans le supprimer.
• Surveillez vos journaux : requêtes multipart inhabituelles suivies d’erreurs mémoire, rafales d’erreurs HTTP 500, redémarrages inexpliqués de processus.
• Renouvelez les mots de passe et clés d’API des serveurs restés exposés en cas de doute, et cloisonnez vos serveurs web grâce à une architecture réseau d’entreprise segmentée.

Conclusion

Avec PHP2Shell, l’écart entre correctifs et premières attaques se compte en heures. Les failles critiques PHP touchent le cœur de millions de sites : si votre entreprise ou votre commune exploite un site ou un portail en PHP, traitez la mise à jour comme une urgence. Comme l’a montré la cyberattaque visant les frigos de supermarchés, ce sont souvent les systèmes que l’on oublie de mettre à jour qui ouvrent la porte.

Source : Génération NT – Alerte maximale sur le Web à cause de PHP (21 octobre 2026)
Voir aussi : The Hacker News – PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge (21 octobre 2026)
Voir aussi : IT-Connect – PHP Zero-Day Alert: Two Critical Flaws Leak Early, Emergency Patch Due October 21 (21 octobre 2026)
Voir aussi : Cryptoast – Faille php : 60% des sites impactés et la France en première ligne, que faire et faut-il s’inquiéter ? (21 octobre 2026)
Voir aussi : PHP.net – ChangeLog PHP 8, version 8.5.12 (octobre 2026)