Italiano
English
Deutsch
Español
Français
Polski
Português
Actualités 6 min de lecture
Alerte de sécurité PHP : deux vulnérabilités critiques menacent les sites web et les serveurs. Mises à jour urgentes
Deux failles de sécurité graves ont été découvertes : elles peuvent permettre à des pirates de prendre le contrôle de serveurs sans connaître le moindre mot de passe. Les correctifs officiels ont été publiés : les personnes qui gèrent des sites web, des sites e-commerce et des applications PHP doivent intervenir immédiatement.
Le 21 octobre 2026, une importante alerte de cybersécurité a été émise concernant PHP, l'un des langages de programmation les plus utilisés au monde pour le développement de sites web et d'applications en ligne.
Les vulnérabilités, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ont été classées comme critiques et peuvent permettre l'exécution de code à distance (Remote Code Execution, RCE) sans authentification préalable.
Concrètement, un individu malveillant pourrait exploiter ces failles pour compromettre un serveur vulnérable, exécuter des commandes non autorisées, accéder à des informations confidentielles ou installer des logiciels malveillants.
La gravité de la situation a conduit des organismes nationaux et internationaux de cybersécurité de premier plan à publier des avis, parmi lesquels le National Cyber Security Centre (NCSC) britannique et le CERT-AGID italien.
Quels sites web et quelles applications sont concernés ?
Les vulnérabilités touchent directement PHP, et non un CMS ou un produit logiciel en particulier.
Par conséquent, les sites web et applications reposant sur les technologies suivantes peuvent être concernés :
WordPress et WooCommerce, utilisés pour les sites d'entreprise, les portails et l'e-commerce.
PrestaShop, l'une des plateformes de commerce électronique les plus répandues.
Joomla et Drupal, employés pour la gestion de contenus et de portails.
XenForo, logiciel dédié à la création de forums et de communautés.
Laravel et applications PHP sur mesure, utilisés pour les logiciels de gestion, les plateformes d'entreprise et les services en ligne.
Le problème peut également concerner les infrastructures utilisant Apache, Nginx avec PHP-FPM, LiteSpeed et d'autres configurations d'exécution de PHP.
Attention : mettre à jour WordPress, PrestaShop ou un autre CMS ne suffit pas. La vulnérabilité concerne le moteur PHP installé sur le serveur, qui doit être mis à jour ou corrigé directement.
Quelles versions de PHP doivent être mises à jour ?
L'équipe officielle de PHP a publié le 21 octobre 2026 quatre nouvelles versions qui corrigent les vulnérabilités :
Branche PHP | Version corrective |
|---|---|
PHP 8.2 | 8.2.35 |
PHP 8.3 | 8.3.36 |
PHP 8.4 | 8.4.27 |
PHP 8.5 | 8.5.12 |
Les installations utilisant PHP 8.1 ou des versions antérieures requièrent également une attention particulière, car il s'agit de branches qui ne sont plus officiellement prises en charge.
Certaines distributions Linux et certains prestataires de services peuvent diffuser des correctifs de sécurité via des paquets dédiés, sans nécessairement modifier le numéro de la version principale. Il est donc important de vérifier que les correctifs ont bien été appliqués, plutôt que de se limiter au numéro de version affiché dans le panneau d'hébergement.
Le risque n'est pas seulement théorique : des outils d'exploitation des vulnérabilités sont disponibles
La situation est particulièrement délicate, car des outils de démonstration et des techniques d'exploitation de ces vulnérabilités ont déjà été rendus publics.
Les autorités de cybersécurité ont signalé le risque d'attaques visant les systèmes exposés sur Internet et, dans certains cas, des informations faisant état de tentatives d'exploitation déjà en cours.
L'existence d'exploits publics augmente la probabilité que même des attaquants disposant de compétences techniques limitées tentent de compromettre des systèmes non mis à jour.
Un serveur vulnérable pourrait être utilisé pour dérober des données, compromettre les sites hébergés, modifier des contenus, installer des backdoors ou mener d'autres activités malveillantes, selon la configuration et les privilèges disponibles.
Que doivent faire immédiatement les entreprises et les administrateurs de sites web ?
La priorité est de vérifier la version de PHP utilisée et de s'assurer que les correctifs de sécurité ont été installés.
Il est en outre recommandé de :
Vérifier tous les sites web et services PHP, y compris ceux hébergés sur des serveurs dédiés, des VPS et des hébergements mutualisés.
Appliquer les mises à jour de sécurité, en vérifiant au préalable la compatibilité des applications.
Contrôler les journaux système et les accès, afin de repérer toute activité suspecte.
Vérifier l'intégrité des fichiers, des applications et des configurations, en écartant la présence de modifications non autorisées.
Contrôler la sécurité des données et des sauvegardes, notamment en présence d'informations personnelles, commerciales ou confidentielles.
Il est essentiel de souligner que l'installation d'une mise à jour ne garantit pas qu'un serveur précédemment vulnérable n'ait pas déjà été compromis.
Lorsqu'il existe des indices d'une attaque, il convient également de procéder à une analyse de sécurité visant à détecter d'éventuels accès frauduleux, modifications de fichiers et mécanismes de persistance.
Leonardo Network : assistance pour les mises à jour urgentes et les vérifications de sécurité
Leonardo Network S.r.l. met à votre disposition ses compétences en développement logiciel, en administration de serveurs et en cybersécurité pour accompagner les entreprises et les professionnels dans la gestion de cette situation d'urgence.
Nous pouvons intervenir sur les sites web, les sites e-commerce, les applications sur mesure et les infrastructures serveur afin de réaliser :
La vérification des vulnérabilités et des versions de PHP installées.
La mise à jour et l'application des correctifs de sécurité, avec des contrôles de compatibilité.
L'analyse des serveurs et des applications potentiellement compromis, au moyen de vérifications techniques et de l'analyse des journaux disponibles.
La recherche de malwares, de backdoors et de modifications non autorisées.
Le nettoyage et la restauration des systèmes compromis, selon les constats effectués.
La sécurisation et le renforcement des infrastructures, afin de réduire le risque de nouvelles attaques.
Vous avez un site web ou un serveur PHP ? Contactez-nous dès maintenant.
Si vous ne savez pas quelle version de PHP utilise votre site, si vous ne parvenez pas à appliquer les mises à jour ou si vous soupçonnez que votre serveur a déjà subi une intrusion, contactez Leonardo Network pour demander une vérification technique et une intervention de sécurité.
N'attendez pas qu'un problème de sécurité se transforme en interruption de services, en perte de données ou en compromission de l'infrastructure de votre entreprise.
