Le 21 octobre 2026, l’équipe de sécurité PHP a publié plusieurs mises à jour corrigeant deux vulnérabilités critiques : CVE-2026-109618 et CVE-2026-109619.
Avec un score CVSS v4.0 de 9,2/10, ces failles peuvent permettre à un attaquant d’exécuter du code à distance sur un serveur vulnérable, sans authentification préalable.
Tous les organismes exploitant des applications PHP accessibles depuis Internet doivent vérifier leur exposition et appliquer les correctifs adaptés.
Notre équipe CERT s’est mobilisée pour analyser ces vulnérabilités, vérifier leur impact sur les infrastructures supervisées et engager les actions de remédiation nécessaires. Nous proposons également un accompagnement pour sécuriser vos environnements PHP et mettre en service les correctifs.
Deux vulnérabilités critiques qui touchent le cœur de PHP.
Ces vulnérabilités concernent directement l’interpréteur PHP, indépendamment du code applicatif.
CVE-2026-109618 : corruption mémoire
Cette vulnérabilité est liée à la gestion des situations de manque de mémoire (Out Of Memory). Une erreur peut provoquer le traitement de structures internes partiellement initialisées et conduire à une exécution de code non autorisée.
CVE-2026-109619 : réutilisation d’un état mémoire invalide
Cette seconde faille concerne la persistance d’un état interne après libération de sa mémoire. Son utilisation par une requête ultérieure peut conduire à une compromission du processus PHP.
Le point particulièrement préoccupant : certaines conditions d’exploitation peuvent intervenir avant même l’exécution du code de l’application.
Les environnements utilisant PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed sont potentiellement concernés.
Il ne suffit donc pas de mettre à jour son CMS ou son application : c’est bien l’environnement d’exécution PHP qu’il faut corriger.
Quelles versions de PHP installer ?
Les versions de sécurité publiées le 21 octobre 2026 sont les suivantes :
| Branche PHP | Version corrigée |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Des correctifs spécifiques peuvent également exister pour certaines branches anciennes, notamment sous forme de backports fournis par les éditeurs ou les solutions d’hébergement.
Cependant, la présence d’un correctif exceptionnel ne signifie pas qu’une version PHP en fin de vie bénéficie de nouveau d’un support complet.
Pour ces environnements, une migration vers une version maintenue reste indispensable à moyen terme.
Notre équipe CERT mobilisée : de l’alerte à la remédiation.
Dès la publication des correctifs, notre équipe CERT analyse l’exposition des environnements PHP qu’elle supervise. Notre démarche consiste notamment à :
- Contrôler les paquets PHP effectivement installés et la présence des correctifs.
- Identifier les versions de PHP utilisées par les différents sites.
- Vérifier le mode d’exécution de PHP et les binaires réellement sollicités.
- Confirmer que les mises à jour sont bien prises en compte.
Pourquoi une simple mise à jour automatique ne suffit-elle pas toujours ?
Dans un environnement de production, plusieurs situations peuvent compliquer le déploiement d’un correctif :
- Un serveur peut héberger plusieurs versions de PHP utilisées par des applications différentes.
- Certains sites peuvent continuer à fonctionner sur une branche obsolète.
- Le binaire utilisé par le serveur web peut être différent de celui affiché en ligne de commande.
- Des processus PHP persistants peuvent continuer à utiliser un ancien environnement d’exécution.
- Une migration PHP peut provoquer des incompatibilités applicatives.
- Des composants ou configurations secondaires peuvent échapper à une vérification superficielle.
Enfin, corriger une vulnérabilité ne permet pas de démontrer qu’aucune exploitation n’a eu lieu avant l’intervention.
Une démarche de remédiation sérieuse doit donc associer installation des correctifs, vérification technique, tests fonctionnels et analyse de sécurité adaptée au contexte.
Notre accompagnement : sécuriser et mettre en service les correctifs PHP.
Face à ces vulnérabilités critiques, nos équipes techniques et notre CERT vous accompagnent dans la mise en sécurité de vos infrastructures PHP.
1. Audit d’exposition et diagnostic
Nous identifions les serveurs, applications et versions PHP concernés. Nous analysons les configurations d’hébergement, les versions utilisées et la disponibilité des correctifs.
2. Préparation de la mise à jour
Nous étudions les dépendances applicatives, les risques d’incompatibilité et les contraintes d’exploitation. Nous définissons une procédure de sauvegarde, un plan d’intervention et, si nécessaire, une stratégie de retour arrière.
3. Déploiement et mise en service des correctifs
Nous vous accompagnons dans l’installation des mises à jour de sécurité, l’adaptation des configurations et la remise en service contrôlée des applications concernées.
4. Vérification et validation après intervention
Nous vérifions la présence effective des correctifs, le bon fonctionnement des sites et des services, ainsi que l’absence de processus utilisant encore un environnement vulnérable.
5. Sécurisation durable
Lorsque des applications reposent sur des versions PHP obsolètes, nous proposons une trajectoire de migration vers des versions maintenues. Une recherche complémentaire de signes de compromission peut également être envisagée selon le niveau d’exposition.
N’attendez pas qu’une vulnérabilité critique devienne un incident de sécurité.
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 rappellent qu’une infrastructure web peut devenir vulnérable indépendamment des développements applicatifs.
Le bon réflexe consiste à identifier rapidement les environnements exposés, déployer les correctifs appropriés et vérifier leur efficacité.
Notre équipe CERT et nos experts infrastructure sont à votre disposition pour évaluer votre exposition et vous accompagner dans la mise en service des correctifs PHP, avec une attention particulière portée à la continuité de vos applications.
Contactez nos équipes pour organiser un diagnostic et une intervention de sécurisation.