Le 21 octobre 2026, l’équipe PHP a annoncé la correction de deux vulnérabilités critiques susceptibles de permettre l’exécution de code à distance sur les serveurs concernés. Pour les entreprises dont le site repose sur PHP, cette actualité mérite une vérification rapide.
Mais faut-il s’inquiéter si vous n’êtes pas développeur ? Votre site est-il réellement exposé ? Et surtout, quelles actions devez-vous entreprendre pour limiter les risques ?
Dans cet article, nous faisons le point sur cette faille PHP, les versions concernées et les mesures à prendre pour protéger votre site web.
Que s’est-il passé le 21 octobre 2026 ?
PHP est un langage de programmation utilisé par de nombreux sites web, notamment par WordPress et plusieurs autres systèmes de gestion de contenu.
Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité corrigeant deux vulnérabilités critiques, identifiées sous les références CVE-2026-109618 et CVE-2026-109619.
Ces failles peuvent, dans certaines conditions, permettre à un attaquant d’exécuter du code à distance sans authentification sur un serveur vulnérable. Autrement dit, un attaquant pourrait potentiellement compromettre un serveur sans disposer au préalable d’un compte utilisateur.
Le risque dépend toutefois de la version de PHP utilisée, de la configuration du serveur et de l’environnement dans lequel l’application fonctionne.
À retenir : si votre site utilise une version de PHP concernée et non corrigée, il est important de vérifier rapidement votre niveau d’exposition et d’appliquer les mises à jour appropriées.
Êtes-vous concerné par cette faille PHP ?
La première étape consiste à déterminer si votre site utilise PHP et, dans l’affirmative, quelle version est installée.
Vous êtes potentiellement concerné si votre site utilise PHP pour traiter des requêtes web, notamment dans les environnements suivants :
- WordPress et ses extensions ;
- des sites développés sur mesure en PHP ;
- des applications reposant sur des frameworks PHP ;
- des serveurs utilisant PHP-FPM, Apache avec mod_php, PHP-CGI, FrankenPHP ou LiteSpeed.
La présence de PHP ne signifie pas nécessairement que votre site est exploitable par un attaquant. Le niveau de risque dépend notamment de la version déployée, de la configuration et des éventuelles protections déjà en place.
Comment vérifier la version de PHP de votre site ?
Si vous êtes responsable d’un site web, plusieurs solutions sont possibles :
- 1.
Consultez votre hébergeur. La version de PHP est souvent accessible dans le panneau d’administration de votre hébergement.
- 2.
Contactez votre prestataire technique. Il pourra vérifier la version réellement utilisée par le site et par les différents services associés.
- 3.
Vérifiez les environnements de production. La version affichée en local ou sur un environnement de test n’est pas nécessairement celle utilisée par le site public.
Ne vous contentez pas de vérifier la version de PHP sur votre ordinateur : c’est bien celle qui fonctionne sur le serveur de production qu’il faut contrôler.
Et si votre site n’utilisait tout simplement pas PHP ?
Chez Markom, nous privilégions une stack technique moderne qui ne repose pas sur PHP pour le fonctionnement de nos sites et applications.
Nous utilisons notamment des technologies comme React, TanStack Start, Vercel et Supabase, selon les besoins des projets.
Cette approche permet de s’appuyer sur un environnement différent de celui des sites exécutant directement du code PHP côté serveur. Une vulnérabilité propre à PHP ne concerne donc pas automatiquement une application construite avec cette stack.
Il reste néanmoins essentiel de nuancer ce point : ne pas utiliser PHP ne signifie pas être à l’abri de toutes les vulnérabilités. Les dépendances, les services tiers, les API, l’infrastructure et la configuration de l’application doivent eux aussi être maintenus et sécurisés.
Le choix des technologies peut réduire certaines catégories de risques, mais il ne remplace jamais une démarche globale de sécurité.
Quelles versions de PHP sont concernées ?
Les versions corrigées publiées le 21 octobre 2026 sont les suivantes :
| Branche PHP | Version corrigée |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Ces versions intègrent les corrections des deux vulnérabilités annoncées le 21 octobre 2026.
Les branches plus anciennes, notamment PHP 8.1 et les versions antérieures, ne bénéficient plus nécessairement de mises à jour de sécurité du projet PHP. Certains fournisseurs et certaines distributions peuvent toutefois proposer leurs propres correctifs, y compris par rétroportage.
Il est donc important de vérifier les informations fournies par votre hébergeur ou votre distributeur avant de conclure qu’une installation est corrigée ou vulnérable.
Attention : PHP 8.2 arrive en fin de vie le 31 décembre 2026. Même si la version 8.2.35 corrige les vulnérabilités évoquées ici, il est préférable de prévoir une migration vers une branche bénéficiant d’un support adapté à vos besoins.
Pour vérifier les informations officielles, consultez les ressources du projet PHP :
Quels sont les risques pour votre entreprise ?
Une vulnérabilité critique sur un serveur web ne représente pas seulement un problème technique. Elle peut avoir des conséquences directes sur l’activité de votre entreprise.
Compromission du site web
Si un attaquant parvient à exploiter une vulnérabilité, il peut potentiellement compromettre le serveur ou l’application. Selon les droits disponibles et la configuration, cela peut lui permettre de modifier des fichiers, de perturber le fonctionnement du site ou d’accéder à certaines ressources.
Vol ou exposition de données
Un serveur compromis peut exposer des données accessibles à l’application : informations clients, données commerciales ou éléments de configuration. L’ampleur du risque dépend de l’architecture et des permissions en place.
Interruption de service
Une attaque peut provoquer une indisponibilité du site ou nécessiter une intervention technique urgente. Pour une entreprise qui dépend de son site pour générer des prospects ou des ventes, les conséquences peuvent être importantes.
Atteinte à la réputation
Un incident de sécurité peut affecter la confiance des clients et des partenaires, particulièrement si des données personnelles sont concernées ou si le site reste indisponible pendant une période prolongée.
Ces conséquences ne sont pas automatiques : elles dépendent de l’exploitation effective de la faille et du niveau de protection du système. Elles justifient néanmoins de prendre les alertes de sécurité au sérieux.
Que faire si votre site utilise une version vulnérable de PHP ?
Si votre site repose sur une version concernée, voici les étapes à suivre.
- 1.
Vérifier la version installée
Identifiez la version exacte de PHP utilisée en production. Si votre site comporte plusieurs environnements ou serveurs, vérifiez chacun d’eux.
- 2.
Appliquer les mises à jour de sécurité
Passez à une version corrigée compatible avec votre environnement. Si PHP est géré par votre hébergeur, vérifiez les versions disponibles et les modalités de mise à jour.
Pour les installations maintenues par une distribution Linux ou un fournisseur, consultez les avis de sécurité correspondants : un correctif peut être intégré sans que le numéro de version amont affiché soit identique à celui du projet PHP.
- 3.
Vérifier la compatibilité du site
Avant une mise à jour, contrôlez la compatibilité du CMS, des extensions, des thèmes et du code spécifique. Lorsque cela est possible, testez les changements sur un environnement de préproduction.
Cette vérification ne doit cependant pas servir de prétexte à laisser durablement un serveur exposé. Si une mise à jour immédiate est impossible, faites évaluer le risque et mettez en place des mesures de réduction de l’exposition en attendant le correctif.
- 4.
Contrôler les journaux et les signes d’activité suspecte
Si votre serveur a fonctionné avec une version vulnérable, examinez les journaux disponibles et recherchez d’éventuels signes d’activité anormale. Une mise à jour corrige la vulnérabilité, mais ne garantit pas qu’aucune compromission n’a eu lieu auparavant.
En cas d’indice sérieux de compromission, faites examiner le serveur par un professionnel avant de considérer l’incident comme résolu.
- 5.
Maintenir l’environnement à jour
La sécurité ne se limite pas à PHP. Le système d’exploitation, le serveur web, le CMS, les extensions, les bibliothèques et les accès administrateurs doivent également faire l’objet d’un suivi régulier.
Comment limiter les risques à long terme ?
Une faille de sécurité rappelle l’importance d’une maintenance régulière. Pour réduire les risques, votre entreprise devrait notamment :
- appliquer rapidement les mises à jour de sécurité ;
- maintenir les versions de PHP et des composants dans des branches prises en charge ;
- supprimer les extensions, modules et services inutilisés ;
- limiter les droits d’accès aux fichiers, aux bases de données et aux services ;
- sécuriser les comptes administrateurs avec des mots de passe robustes et une authentification multifacteur lorsque possible ;
- conserver des sauvegardes régulières et tester leur restauration ;
- surveiller les journaux et les alertes de sécurité ;
- documenter les composants techniques utilisés par le site et les responsabilités de maintenance.
Une maintenance préventive bien organisée permet de détecter plus rapidement les problèmes et de réduire le temps nécessaire pour réagir lorsqu’une vulnérabilité est annoncée.
Faut-il envisager une autre technologie que PHP ?
PHP reste une technologie largement utilisée et peut être déployé de manière sécurisée lorsqu’il est correctement maintenu. Une vulnérabilité ne signifie donc pas qu’il faut systématiquement abandonner PHP.
Le choix d’une stack technique doit prendre en compte les besoins du projet, les compétences disponibles, les coûts d’exploitation, les exigences de performance et les contraintes de sécurité.
Des technologies comme React, TanStack Start, Vercel et Supabase peuvent convenir à certains projets et permettent d’adopter une architecture différente. Elles ont cependant leurs propres exigences de maintenance et de sécurité.
Chez Markom, nous privilégions une approche adaptée au projet : choisir des technologies pertinentes, limiter la complexité inutile et veiller à ce que l’environnement puisse être maintenu dans la durée.
L’objectif n’est pas de suivre une tendance technologique, mais de construire un site fiable, évolutif et adapté aux besoins de l’entreprise.
FAQ : les questions fréquentes sur la faille PHP
Cette faille PHP concerne-t-elle tous les sites web ?
Non. Elle concerne les environnements utilisant PHP dans des conditions correspondant aux vulnérabilités signalées. Les sites reposant uniquement sur d’autres technologies ne sont pas automatiquement concernés par ces failles spécifiques. Ils doivent néanmoins continuer à appliquer leurs propres mises à jour de sécurité.
Comment savoir si mon site utilise PHP ?
Vous pouvez consulter le panneau de gestion de votre hébergement ou demander à votre prestataire technique. Pour un diagnostic fiable, il faut vérifier l’environnement qui sert réellement le site en production.
La mise à jour de PHP suffit-elle à sécuriser mon site ?
Elle corrige les vulnérabilités couvertes par la mise à jour, mais elle ne garantit pas à elle seule la sécurité globale du site. Les extensions, le système, les accès, les configurations et les éventuelles compromissions antérieures doivent également être pris en compte.
Que faire si mon hébergeur gère PHP ?
Contactez-le pour confirmer la version active, savoir si le correctif est appliqué et connaître les éventuelles actions requises de votre côté. Certains hébergeurs gèrent les mises à jour automatiquement, tandis que d’autres nécessitent une intervention dans le panneau de contrôle.
Dois-je changer de technologie pour éviter les failles PHP ?
Pas nécessairement. PHP peut rester adapté à de nombreux projets s’il est maintenu correctement. Le choix d’une autre technologie doit découler d’une analyse des besoins, de l’architecture et des capacités de maintenance de votre entreprise.
Mon site n’utilise pas PHP : suis-je totalement protégé ?
Non. Vous n’êtes pas automatiquement exposé à ces vulnérabilités PHP si votre application n’exécute pas PHP dans un environnement concerné. Toutefois, les autres composants de votre stack peuvent présenter leurs propres vulnérabilités et nécessitent eux aussi des mises à jour régulières.
Conclusion : vérifiez votre environnement sans attendre
Les vulnérabilités PHP annoncées le 21 octobre 2026 rappellent qu’une application web doit être maintenue tout au long de son cycle de vie.
Si votre site utilise PHP, commencez par identifier la version installée, vérifiez les correctifs disponibles et assurez-vous que votre environnement est maintenu. Si votre hébergeur ou votre prestataire gère ces opérations, demandez-lui une confirmation claire.
Si votre site utilise une autre stack, ne tirez pas de conclusion uniquement à partir de cette alerte : vérifiez plutôt les composants réellement présents dans votre architecture et maintenez-les à jour.
Chez Markom, nous considérons que la sécurité doit faire partie intégrante de la conception et de la maintenance d’un site web, et non être traitée uniquement lorsqu’une vulnérabilité fait l’actualité.