Ce mercredi 21 octobre 2026, une alerte majeure de cybersécurité concerne PHP, le langage informatique utilisé par environ 70 % des sites web, notamment par WordPress. Deux vulnérabilités critiques, évaluées à 9,2 sur 10, pourraient permettre à des pirates informatiques d’exécuter du code malveillant à distance et de compromettre, voire de prendre le contrôle des serveurs.
- Deux failles critiques de sécurité affectent PHP, avec un niveau de gravité annoncé de 9,2 sur 10.
- Des millions de sites web, notamment ceux basés sur WordPress, pourraient être exposés à des attaques visant à compromettre leurs serveurs.
- Des correctifs de sécurité sont disponibles depuis le 21 octobre 2026 pour les branches PHP 8.2, 8.3, 8.4 et 8.5.
- Action urgente : vérifier sa version de PHP et appliquer les correctifs disponibles. Les versions anciennes non maintenues nécessitent une attention particulière.
Deux failles PHP d’une extrême gravité : des attaques massives redoutées
L’équipe de sécurité de PHP a publié, le 21 octobre 2026, quatre mises à jour de sécurité : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, afin de corriger ces deux vulnérabilités critiques.
Les vulnérabilités, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, présentent un risque de prise de contrôle à distance des serveurs vulnérables.
Des informations techniques ayant déjà fuité avant la publication des correctifs, les spécialistes de la cybersécurité redoutent une exploitation rapide de ces failles à grande échelle. Les sites WordPress et les applications professionnelles utilisant PHP sont impactés. Les installations reposant sur des versions obsolètes et non maintenues sont particulièrement exposées.
Quelles mesures prendre pour protéger son site Web et son serveur PHP ?
Les administrateurs de sites web et les entreprises doivent agir rapidement pour réduire les risques d’exploitation de ces vulnérabilités.
- Vérifier la version de PHP utilisée par le site ou le serveur auprès de son hébergeur.
- Installer les correctifs de sécurité disponibles pour les versions PHP 8.2, 8.3, 8.4 et 8.5.
- Mettre à jour les anciennes versions de PHP, notamment PHP 7 et PHP 8.0 ou 8.1, qui ne bénéficient plus du support de sécurité officiel.
- Contacter son hébergeur afin de vérifier si les correctifs ont été appliqués ou si des mesures de protection supplémentaires sont nécessaires.
- Limiter temporairement l’exposition des systèmes vulnérables lorsque leur mise à jour immédiate est impossible.
Pour les entreprises utilisant WordPress, la mise à jour du CMS et de ses extensions ne remplace pas celle de PHP, qui doit être effectuée au niveau de l’hébergement.
Sources officielles : PHP – Annonces et mises à jour de sécurité et CERT-FR – Multiples vulnérabilités dans PHP (21 octobre 2026).
Attention : les mesures de protection temporaires ne remplacent pas l’installation des correctifs PHP. Les vulnérabilités pouvant être exploitées avant même l’exécution du code des applications, la mise à jour du serveur reste indispensable.
Les machines utilisant d’anciennes versions de PHP, notamment PHP 5, PHP 7, PHP 8.0 et PHP 8.1, seront particulièrement vulnérables et présenteront un risque élevé de cyberattaques, faute de correctifs de sécurité officiels.
Les Freebox sont-elles concernées par les failles de sécurité PHP ?
La France est apparue en tête d’un recensement mondial réalisé par la société britannique Infrawatch, qui attribuait une part importante des services PHP exposés aux Freebox. Toutefois, cette identification reposait sur une confusion technique : selon les informations publiées depuis, Freebox OS n’utilise pas de serveur PHP et n’est donc pas concerné par ces deux vulnérabilités. Cette erreur de détection a conduit à surestimer considérablement l’exposition française.
Cette situation rappelle néanmoins l’importance des mises à jour de sécurité des équipements connectés. Les abonnés Free n’ont aucune manipulation particulière à effectuer en raison de cette alerte PHP. Plus généralement, les utilisateurs doivent maintenir leurs box Internet à jour, les correctifs éventuels étant distribués directement par les opérateurs.
L’équipe de Juristique a contacté Gandi, son hébergeur, afin de s’assurer de la protection de ses serveurs contre ces vulnérabilités PHP. Gandi nous a confirmé prendre les mesures de sécurité nécessaires pour prévenir leur exploitation.
