Le 21 octobre 2026, le projet PHP a publié en urgence, dans son avis de sécurité officiel, des correctifs pour deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619, et notées 9,2/10 sur l'échelle CVSS (Common Vulnerability Scoring System).
Surnommées « PHP2Shell », elles touchent le moteur PHP lui-même et peuvent permettre à un pirate d'exécuter du code à distance, sans identifiant. PHP fait tourner près de 70 % des sites web, dont WordPress, Drupal ou Joomla : l'enjeu est considérable.
Par précaution, de nombreux sites ont été coupés le temps d'appliquer les correctifs. En France, ceux des préfectures, de Météo-France et des impôts ont été temporairement inaccessibles, et l'ANSSI estime à plus de 600 000 le nombre de serveurs PHP concernés.
Ces coupures ne sont pas des piratages : elles visent à empêcher qu'une attaque aboutisse.
Les failles viennent d'un défaut de gestion de la mémoire, présent dans le code de PHP depuis plus de dix ans. La société Calif a identifié la première avec GPT-5.6 Sol, un modèle d'OpenAI, tandis que Wiz a signalé des failles en s'appuyant sur plusieurs modèles d'IA. L'équipe de PHP préparait une publication coordonnée, mais les identifiants des failles ont fuité la veille. Elle a dû avancer la sortie des correctifs de 24 heures.
Les attaques n'ont pas attendu. Selon Cloudflare, des milliers de tentatives d'exploitation ont été observées dans les dix heures précédant l'annonce, puis plusieurs millions ensuite. Aucune compromission n'est toutefois confirmée à ce stade.
Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Plusieurs mesures permettent de limiter les risques :
php -v » indique la version en ligne de commande, qui peut différer de celle du site. Il faut aussi contrôler la configuration de l'hébergement.Enfin, les branches antérieures à PHP 8.2 ne bénéficient plus du support officiel. Le CERT-FR a publié une alerte et recommande de migrer vers une version maintenue. Certains prestataires proposent toutefois des correctifs spécifiques, dont il faut vérifier la disponibilité.
Cet épisode rappelle l'importance de maintenir ses applications à jour. Si votre site ou votre application repose sur une version ancienne de PHP, Josh Digital peut vous aider à la mettre à niveau ou à la migrer vers une version maintenue.
