Une urgence informatique mondiale se profile alors que les équipes de PHP s’apprêtent à publier des correctifs pour deux vulnérabilités critiques de type exécution de code à distance, notées 9,2 sur l’échelle CVSS. L’agence européenne CERT-EU recommande aux organisations de débrancher les sites vulnérables si le correctif immédiat s’avère impossible.
Les développeurs du langage de programmation PHP s’apprêtent à diffuser un correctif de sécurité hors cycle ce mercredi 21 octobre 2026 à 14 h 00 UTC. Cette intervention d’urgence fait suite à la fuite en ligne de détails concernant deux failles majeures, identifiées par la suite sous les numéros CVE-2026-109618 et CVE-2026-109619. Ces vulnérabilités, qui affichent un score de gravité de 9,2 sur l’échelle CVSS v4.0, menacent de permettre à des attaquants d’exécuter du code malveillant sur les serveurs cibles sans aucune authentification préalable.
PHP Remote Code Execution (CVE-2026-109618 & CVE-2026-109619)Information about two new remote code execution (RCE) vulnerabilities in PHP, tracked as CVE-2026-109618 and CVE-2026-109619 (CVSS v3.1 10 / 10), has leaked ahead of their coordinated disclosure, and security firm… pic.twitter.com/PKEZK7yYVe
Les alertes mondiales de l’agence CERT-EU et de Cloudflare
Face à la menace imminente d’intrusions informatiques, le Centre européen de réaction aux incidents de sécurité informatique (CERT-EU) a publié un avis enjoignant aux entreprises de préparer le déploiement immédiat des rustines correctives. Pour les structures dans l’incapacité d’appliquer le correctif à temps, l’agence européenne suggère d’envisager l’isolement des applications connectées au web en mettant hors ligne les sites web affectés afin d’éviter toute compromission complète des systèmes.
De son côté, l’Australien Australian Cyber Security Centre (ACSC) a demandé à l’ensemble des structures d’inventorier leurs parcs informatiques tournant sur PHP, tout en précisant ne pas avoir constaté d’exploitations actives au moment de ses annonces. Néanmoins, la tension est palpable sur le terrain. Dane Knecht, le directeur technique de la firme de sécurité Cloudflare, a indiqué que des assauts précurseurs se manifestaient déjà sur le réseau, poussant son entreprise à ajuster ses règles de pare-feu comme mesure temporaire en attendant le déploiement officiel des correctifs du fournisseur.
We were all supposed to wait until Thursday at 11am ET. Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they're real. CVE-2926-109618/619We cannot share further information right now. Take this seriously and apply patches when available. pic.twitter.com/kguM8fpq13
PHP alimente une part colossale de l'internet mondial
L’ampleur de la situation s’explique par la omniprésence de ce langage de script. PHP constitue la fondation cachée d’une part colossale de l’Internet mondial, assurant le fonctionnement de plateformes de gestion de contenu majeures telles que WordPress, Drupal, Joomla ou encore Magento. Selon les observations de l’entreprise de cybersécurité Huntress, le langage alimente également de nombreux environnements d’hébergement partagé, des panneaux de contrôle ainsi que des applications tierces fonctionnant en arrière-plan sans nécessairement l’afficher.
Pour les administrateurs de sites basés sur WordPress, l’éditeur de plugins Wordfence rappelle que les mises à jour automatiques habituelles ne suffiront pas à immuniser les serveurs. Les propriétaires de sites doivent impérativement identifier l’entité responsable de la maintenance de leur infrastructure PHP pour procéder aux opérations nécessaires dès la mise à disposition des correctifs.
Le défi des versions obsolètes et les branches supportées
Les équipes de développement de PHP ont confirmé que les rustines ne seront destinées qu’aux quatre branches actuellement prises en charge, à savoir les versions 8.2, 8.3, 8.4 et 8.5. Cette décision laisse un vide considérable pour les millions de serveurs à travers le globe qui tournent encore sur des déclinaisons plus anciennes.
Le chercheur en sécurité Florian Roth a publiquement mis en garde les gestionnaires de parcs informatiques : les serveurs fonctionnant toujours sous PHP 5 ou PHP 7 se retrouveront dans une situation critique sans aucun correctif officiel disponible auprès du fournisseur. Alors que l’équipe de sécurité de PHP se réserve le droit d’avancer la publication des correctifs si de nouvelles preuves d’exploitation sauvage venaient à être confirmées, l’heure est à l’inventaire des ressources et à la planification des mises à niveau pour l’ensemble des acteurs du web.
Okay, since the news is already out: an RCE vulnerability in PHP core, CVSS 10.0. Further details are scheduled for release on October 20. Only PHP 8 will receive patches. pic.twitter.com/rluF5EpjGq
As it's already known, I will be releasing a lab on the CVE-2926-109618,9 PHP RCE upon embargo release. Until then, patch to the latest.
Sur le même sujet