Actu Code 21 Oct 2026

PHP corrige deux failles critiques : les versions à installer

Deux failles critiques dans PHP, corrigées le 21 octobre : les versions à installer et comment savoir si ton site est concerné

Noob 3 min de lecture Par L'équipe GrosNoob
PHP : deux failles critiques, correctif le 21 octobre à 16h

PHP a publié ce mercredi 21 octobre 2026 les versions qui corrigent deux failles critiques : si ton site tourne sous PHP (WordPress compris), installe sans attendre PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, selon ta branche. L’équipe de PHP le dit sans détour : il n’existe pas de parade complète, la mise à jour est la seule solution sûre.

Qu’est-ce que PHP a corrigé exactement ?

Les deux failles, CVE-2026-109618 et CVE-2026-109619, peuvent permettre à quelqu’un d’exécuter son propre code sur ton serveur sans avoir de compte, juste en envoyant une requête. Chacune est notée 9,2 sur 10 avec le barème CVSS 4.0, l’échelle standard qui mesure la gravité d’une faille. Au-dessus de 9, on parle de faille critique.

Sont exposées toutes les installations PHP qui répondent à des requêtes web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. PHP juge le risque le plus élevé avec mod_php, où une attaque a été démontrée avant même que le code de l’application démarre.

Les deux failles sont publiées au registre CVE depuis le 21 octobre, mais elles n’apparaissaient pas encore dans la base américaine NVD ce jour-là à 16h10, heure de Paris.

Comment savoir si tu es concerné ?

Tu es concerné dès qu’un site ou une appli que tu gères s’exécute avec PHP en dessous de la version corrigée de sa branche : c’est le cas de WordPress, de la plupart des hébergements mutualisés et de beaucoup de projets Laravel ou Symfony. Première étape, connaître ta version :

  • sur ton PC ou un serveur, tape php -v dans un terminal ;
  • sur WordPress, va dans Outils, Santé du site, onglet Infos, rubrique Serveur ;
  • sur un hébergement mutualisé, regarde la version PHP affichée dans le panneau de ton hébergeur.

Compare ensuite avec la version corrigée de ta branche, c’est-à-dire les deux premiers chiffres :

  • PHP 8.5 : il te faut 8.5.12 ou plus ;
  • PHP 8.4 : il te faut 8.4.27 ou plus ;
  • PHP 8.3 : il te faut 8.3.36 ou plus ;
  • PHP 8.2 : il te faut 8.2.35 ou plus.

Les branches 8.1 et plus anciennes ne reçoivent plus de mises à jour du projet PHP. Certains fournisseurs de support long proposent des correctifs, sinon passe à une branche suivie.

Tu débutes avec ton propre site ? Le guide créer son premier site web t’explique la différence entre un site WordPress hébergé et un site statique, qui lui ne fait pas tourner PHP.

Qu’est-ce que tu dois faire maintenant ?

Tu installes la version corrigée de ta branche aujourd’hui, puis tu vérifies que c’est bien elle qui tourne. Concrètement :

  1. fais la liste de tes sites et applis qui tournent en PHP ;
  2. sur ton propre serveur, installe d’abord les paquets de ta distribution Linux, qui a reçu les correctifs en avance selon PHP ;
  3. après la mise à jour, vérifie la version affichée par php -v et par la Santé du site de WordPress ;
  4. sur un hébergement mutualisé, c’est en général ton hébergeur qui installe les correctifs : surveille ses annonces, et si tu es encore sur une branche en fin de vie, passe à une branche suivie depuis ton panneau.

Tu ne peux pas mettre à jour tout de suite ? PHP liste dans son avis de sécurité des réglages qui réduisent certains chemins d’attaque, mais prévient qu’ils ne rendent pas une installation sûre. Le CERT-EU recommande en plus d’isoler d’Internet les applis exposées jusqu’à ce qu’elles soient corrigées. Et si ton appli tourne dans un conteneur, c’est l’image qu’il faut reconstruire : le guide Docker pour démarrer t’explique la logique.