Deux failles de sécurité PHP : ce qu’il faut comprendre pour votre site

PHP fait fonctionner une grande partie du Web, notamment de nombreux sites WordPress, PrestaShop, Drupal et applications sur mesure. Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux vulnérabilités critiques référencées CVE-2026-109618 et CVE-2026-109619. Dans certaines configurations, elles peuvent être exploitées à distance sans compte utilisateur.

Que sont ces deux failles PHP ?

Ces vulnérabilités concernent le moteur PHP installé sur le serveur, et non un thème ou une extension en particulier. Elles touchent la façon dont PHP gère sa mémoire et certains états conservés entre les requêtes.

L’impact confirmé peut aller jusqu’à l’exécution de code à distance avec les droits du processus Web. Le risque exact dépend toutefois du mode d’exécution de PHP, de la configuration du serveur, des extensions actives et des chemins accessibles dans l’application.

Votre site est-il concerné ?

La question ne se limite pas à WordPress ou PrestaShop. Tout site traitant des requêtes Web avec une version PHP vulnérable doit être vérifié. Le projet PHP cite notamment PHP-FPM, Apache avec mod_php, PHP-CGI, FrankenPHP et LiteSpeed.

Une simple lecture du numéro de version peut néanmoins être insuffisante. Certains hébergeurs appliquent un correctif rétroporté à leur propre paquet PHP sans modifier le numéro affiché dans l’interface d’hébergement. À l’inverse, un numéro ancien sans preuve de maintenance fournisseur doit être considéré avec prudence.

Quelles versions corrigent les vulnérabilités ?

Les branches PHP 8.1 et antérieures ne sont plus suivies officiellement par le projet PHP. Un hébergeur peut encore maintenir certains paquets de son côté, mais cela ne remplace pas une stratégie de migration vers une branche officiellement supportée.

Que faut-il faire maintenant ?

1. Identifier la version réellement utilisée.Contrôlez la version du site en production, pas seulement celle sélectionnée par défaut dans l’hébergement.
2. Vérifier la politique de l’hébergeur.Demandez une confirmation explicite lorsque le numéro reste ancien mais que le fournisseur annonce avoir rétroporté les correctifs.
3. Sauvegarder avant toute migration.Conservez les fichiers et la base de données, puis prévoyez un retour arrière documenté.
4. Tester le site sur une version corrigée.Contrôlez l’administration, les formulaires, les paiements, les tâches planifiées et les extensions métier.
5. Redémarrer les processus concernés.Après la mise à jour du moteur, PHP-FPM, Apache ou les workers concernés doivent charger les nouveaux binaires.

OVHcloud, o2switch et Infomaniak : où en sont les correctifs ?

Sur un hébergement mutualisé, la mise à jour du moteur PHP est pilotée par l’hébergeur. Voici les informations communiquées officiellement au 22 octobre 2026.

Chez Infomaniak, les correctifs ont été annoncés comme déployés sur les Hébergements Web mutualisés et les Serveurs Cloud pour les versions PHP proposées de 7.4 à 8.5. Les numéros visibles peuvent rester identiques lorsqu’un correctif est intégré au paquet de l’hébergeur.

Ces confirmations concernent le moteur PHP fourni par l’hébergeur. Elles ne corrigent pas automatiquement un CMS, un thème ou une extension vulnérable, et ne remplacent pas la migration future d’une ancienne branche PHP vers une version officiellement supportée.

Et sur un VPS ? Les interventions réalisées pour mes clients

Sur un VPS non administré, le fournisseur sécurise l’infrastructure physique, mais la maintenance du système, de PHP et des services Web reste à la charge de l’administrateur. Une annonce générale de l’hébergeur ne garantit donc pas que les paquets installés dans le VPS ont été mis à jour ni que les processus actifs utilisent déjà les nouveaux binaires.

Certains VPS hébergent encore des applications dépendantes d’anciennes branches PHP. Des correctifs rétroportés ont permis de traiter l’urgence lorsque le dépôt fournisseur les proposait, mais cette protection ponctuelle ne rend pas ces versions à nouveau supportées. La suite consiste à mettre à jour les CMS ou frameworks concernés, tester leur compatibilité puis migrer vers une branche PHP maintenue.

Une mise à jour PHP ne s’improvise pas

Cliquer sur une nouvelle version dans une console d’hébergement peut suffire pour un site simple, mais pas toujours. Un ancien thème, un module métier ou une extension abandonnée peut provoquer une erreur après le changement. La bonne méthode consiste à inventorier, sauvegarder, tester, corriger puis basculer.

Alcaweb peut contrôler votre environnement PHP, confirmer l’application des correctifs et préparer une migration compatible avec votre site.