Ce qui s’est passé
Le 21 octobre 2026, PHP a publié des correctifs pour deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619. Elles permettent l’exécution de code à distance sans authentification, avec un score CVSS v4.0 de 9.2. Selon PHP, toutes les installations qui traitent des requêtes web sont concernées, dont PHP-FPM, Apache mod_php et php-cgi. Les correctifs figurent dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
PHP 8.1 et les versions antérieures ne sont plus supportées officiellement. Un correctif dépend alors de votre distribution Linux, d’un fournisseur LTS ou d’un backport maison. Cela concerne de nombreuses organisations : selon W3Techs, 34,7 % des sites web qui utilisent PHP tournent encore sur la version 7 ou antérieure. Les détails techniques étant désormais publics, le risque d’exploitation est réel.
Le patch n’est que la première étape. Trois questions demeurent
- Que faire si vous ne pouvez pas mettre à jour immédiatement ? Du code ancien, des dépendances envers des fournisseurs ou une version PHP non supportée ne se règlent pas en une nuit.
- Étiez-vous déjà compromis avant d’appliquer le patch ? Un patch ferme la porte, mais ne fait pas sortir un intrus.
- Comment éviter la prochaine course contre la montre ? Ce ne sera pas la dernière faille critique dans votre environnement web.
Notre réponse sur une page
Dans notre advisory, découvrez quelles versions de PHP sont concernées, pourquoi les versions plus anciennes présentent un risque supplémentaire et comment procéder en trois étapes : protéger, vérifier et corriger. Vous saurez aussi si votre organisation doit agir maintenant.
À lire également –> « Pourquoi il est important de bien configurer un WAF »
Téléchargez notre approche complète
Nous avons tout résumé sur une page : ce qui s’est passé, les trois questions ouvertes et notre approche.
Vous préférez en parler directement ? Planifiez un court appel pour évaluer votre exposition PHP : sales@approach-cyber.com ou +32 15 50 44 00.