Faille PHP 5 à 8.5 : tout savoir sur la situation d'urgence

Alban Martin
Il y a 5 min
💬 Réagir
🔈 Écouter

Deux vulnérabilités critiques dans PHP, le langage qui alimente une large partie du web, ont provoqué le 21 octobre 2026 la mise hors ligne préventive de nombreux sites. Référencées CVE-2026-109618 et CVE-2026-109619, elles permettent une exécution de code à distance sans authentification et sont notées 9,2 sur 10. Elles touchent toutes les installations PHP servant des requêtes web, depuis la version 5 (2004). Les détails ont fuité avant la publication officielle des correctifs, accélérant les réactions des administrateurs et des autorités.

Versions impactées et correctifs disponibles

Les failles se situent dans le cœur de PHP (gestion de la mémoire, notamment un dépassement de mémoire et un use-after-free). Elles concernent toutes les branches antérieures aux versions corrigées.

Les mises à jour officielles, publiées le 21 octobre, concernent uniquement les versions encore supportées, soit :

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

PHP 8.1 et les versions plus anciennes ne reçoivent plus de correctifs officiels du projet PHP. Des backports sources minimaux ont été publiés pour PHP 7.4.X, 8.0.X et 8.1.X, à destination de ceux qui compilent eux-mêmes ou dont l’hébergeur les fournit. Pour information, PHP 8.2 atteindra sa fin de support le 31 décembre 2026.

Le risque est jugé maximal avec Apache et mod_php, où une seule requête non authentifiée peut déclencher l’attaque avant l’exécution du code applicatif. Les paquets PHP-FPM, php-cgi, FrankenPHP et LiteSpeed sont également concernés.

Sites français et internationaux mis hors ligne

En France, le ministère de l’Intérieur a mis hors ligne les sites des préfectures par précaution, à la demande de l’ANSSI. D’autres services publics (Météo-France, CNIL, etc.) ont également basculé en maintenance. À l’international, des sites gouvernementaux aux Pays-Bas, en Finlande, en Allemagne ou en Belgique ont été coupés temporairement, tout comme certains services de Wikimedia. Cloudflare a signalé des tentatives d’exploitation précoces. L’objectif des mises hors ligne était de limiter l’exposition en attendant l’application des correctifs.

Que faire maintenant ?

La seule protection complète consiste à mettre à jour vers l’une des versions corrigées listées ci-dessus. En attendant, vous pouvez tout de même désactiver session.upload_progress dans le php.ini si vous avez les accès.

Les organisations sur des versions non supportées doivent migrer rapidement ou isoler les services exposés. Les hébergeurs (dont certains en France) ont commencé à déployer les correctifs ; il est recommandé de vérifier la version effective sur ses serveurs. Les utilisateurs finaux n’ont rien à faire : la responsabilité incombe aux administrateurs et aux hébergeurs. Les autorités (CERT-EU, ANSSI, NCSC) recommandent d’agir sans délai, car des preuves de concept circulent déjà.