Cette page est en noindex, les liens sont nofollow et l’article n’est lié depuis aucune page du site.
Le projet PHP a publié, le mercredi 21 octobre 2026 à 14 h UTC, les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 de son langage de programmation. Elles corrigent deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur l’échelle CVSS v4.0, qui peuvent permettre une exécution de code à distance sans authentification. Un identifiant CVE désigne une faille de sécurité référencée, et le score CVSS en mesure la gravité.
Selon l’éditeur, toutes les installations qui servent des requêtes web sont concernées, sous PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed, le risque étant jugé le plus élevé avec mod_php. Le jour même, le CERT-FR a mis à jour son alerte CERTFR-2026-ALE-014, et le ministère de l’Intérieur a fermé ses sites exposés, préfectures comprises. La chronologie publiée par la PHP Foundation indique que le défaut à l’origine de la première faille était identifié depuis 2024, sans vecteur d’exploitation connu.
Un défaut repéré lors de l’audit de 2024
En 2024, PHP passe son premier audit de sécurité externe depuis des années. Financé par la Sovereign Tech Agency allemande, organisé par l’OSTIF et réalisé par la société française Quarkslab, cet audit conduit un développeur du cœur de PHP à repérer, en corrigeant l’un des problèmes signalés, les premiers signes d’un défaut lié aux erreurs d’épuisement de la mémoire (out-of-memory). Une exploitation est alors théorisée, sans vecteur concret.
La correction bute ensuite sur des arbitrages. Chaque approche envisagée cassait la compatibilité, ouvrait un risque de déni de service ou imposait des modifications à de nombreuses extensions tierces, impossibles à coordonner. L’équipe de sécurité, qui décide au consensus, a vu le chantier « caler et redémarrer à plusieurs reprises pendant des mois ». La fondation écrit que « le retard était un échec structurel », dû à ce mode de décision et à un manque de moyens.
Calif, OpenAI et Wiz : un été de démonstrations
Dans le cadre du programme Patch the Planet, la société Calif commence un audit de PHP le 30 juillet 2026. Le 11 août, son chercheur Ryan A. signale une exécution de code à distance inconditionnelle, de même cause racine que le défaut de 2024. OpenAI, dont la fondation crédite l’équipe Codex Security, rapporte la même cause le même jour. Wiz Research suit le 24 août avec d’autres vecteurs d’attaque. À partir du 11 août, écrit la fondation, la correction devient la priorité de toute son équipe sécurité.
Wiz indique avoir utilisé son outil Wiz Atlas, Gemini 4 Argon de Google et GPT-5.6 Sol d’OpenAI. Sa chronologie place la découverte de la première faille au 19 août, l’exécution de code confirmée le 20 août sur Drupal et le 21 sur WordPress, et le signalement à PHP le 24. Selon l’entreprise, un seul chercheur, avec ces modèles, a bouclé en une semaine ce qui aurait demandé des mois à une équipe de premier plan. La fondation recense par ailleurs 15 CVE publiées depuis le 1er juillet et plus de 100 signalements écartés, car invalides, en double ou non reproductibles.
La sortie était prévue le 22 octobre. Le 20 octobre vers 15 h UTC, les deux identifiants CVE ont commencé à circuler sur des forums et des réseaux sociaux, avec une heure de sortie erronée et un score CVSS faux de 10. Selon la fondation, aucun détail technique n’a fuité. PHP a avancé sa pré-annonce et la sortie au 21 octobre. Chainguard a publié, le 21 octobre à 7 h 41 UTC, des images intégrant le correctif plus de six heures avant la sortie, ce que la fondation qualifie de rupture unilatérale de l’embargo.
Isoler puis migrer, la consigne du CERT-FR
Le CERT-FR liste comme affectées toutes les versions 5.x, 6.x, 7.x, 8.0.x et 8.1.x, ainsi que les branches 8.2 à 8.5 antérieures aux versions corrigées. Pour les branches que l’éditeur ne maintient plus, il recommande d’isoler les équipements puis de migrer vers une version maintenue. Les contournements provisoires, en configuration de PHP ou sur un pare-feu applicatif, ne sont pas qualifiés par le CERT-FR. Selon l’Anssi, plus de 600 000 serveurs utilisent PHP sur l’Internet français. Le ministère de l’Intérieur a mis en maintenance préventive ses sites exposés, selon une déclaration rapportée par l’AFP. Le 22 octobre à 8 h 33, heure de Paris, le site de la CNIL et impots.gouv.fr affichaient une page de maintenance, comme celui de la préfecture de la Seine-Saint-Denis. Aucune de ces pages ne mentionne PHP.
Cloudflare dit avoir observé du trafic d’attaque visant ses clients, et des attaquants modifier leurs requêtes pour contourner ses règles de filtrage. Selon la fondation, aucun exploit fonctionnel n’avait été identifié au moment de la publication. À la date indiquée, aucune des sources citées ne fait état d’une intrusion réussie.
Les versions maintenues ont reçu leur correctif le jour de la divulgation. Le principal risque concerne les serveurs encore en PHP 8.1 ou antérieur, que le projet ne met plus à jour. Pour PHP 7.4, 8.0 et 8.1, son équipe de sécurité a fourni des rétroportages minimaux, destinés à ceux qui compilent depuis les sources. La PHP Foundation demande aux entreprises, hébergeurs et administrations qui reposent sur PHP de la financer, car la sécurité du moteur dépend encore, écrit-elle, d’« un petit groupe de développeurs financés par la fondation et d’un peu d’aide bénévole ».
