PHP : deux failles critiques corrigées en urgence, des millions de serveurs concernés

PHP a publié mercredi 21 octobre quatre versions correctives, 8.5.12, 8.4.27, 8.3.36 et 8.2.35, pour colmater deux failles d’exécution de code à distance notées 9,2 sur 10. La gravité est maximale : une requête anonyme suffit à compromettre un serveur avant même l’exécution du code du site, en particulier avec le module mod_php d’Apache.

L’alerte a été lancée mardi 20 octobre au soir par l’équipe de développement de PHP. Deux vulnérabilités, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, permettent à un attaquant non authentifié d’exécuter du code arbitraire sur le serveur. Le risque culmine avec mod_php, où un exploit fonctionnel a été démontré. Les versions 7.4, 8.0 et 8.1, officiellement non maintenues, reçoivent néanmoins des rustines minimales à compiler soi-même. Rien n’est prévu pour PHP 5 ni pour les versions 7.0 à 7.3.

L’annonce a provoqué une onde de choc dans la communauté de la cybersécurité. Le CERT-FR a publié un avis le lendemain, confirmant que les versions 5.x, 6.x, 7.x et 8.x sont affectées. Compte tenu de l’abandon du support pour ces branches, l’organisme recommande d’isoler les équipements concernés puis de les mettre à jour vers une version supportée intégrant les correctifs. Des mesures de contournement via WAF ou configuration serveur peuvent réduire l’exposition, sans toutefois l’éliminer totalement.

Selon des analyses préliminaires publiées avant la diffusion des patchs, environ deux millions d’appareils seraient potentiellement vulnérables, une majorité étant hébergée aux États-Unis. L’enjeu dépasse le cadre technique : PHP fait tourner près de sept sites web sur dix dans le monde. Les sites WordPress ne sont pas protégés par les mises à jour automatiques du CMS ; il incombe aux administrateurs de vérifier auprès de leur hébergeur la version de PHP déployée et son calendrier de mise à jour.

L’Union européenne a tiré la sonnette d’alarme dès mardi, conseillant de débrancher les sites impossibles à corriger dans l’immédiat. Plus d’un site PHP sur trois tourne sur une version que personne ne réparera. La réactivité de l’écosystème, distributions Linux, hébergeurs, équipes de sécurité, déterminera l’ampleur réelle des compromissions dans les prochains jours.

Sources : Numerama, Les Numériques, ZDNet

Sources : Numerama, Les Numériques, ZDNet