- Plusieurs vulnérabilités ont été découvertes dans PHP, le langage utilisé par de très nombreux sites et applications web.
- Des correctifs de sécurité sont disponibles sur le site de l’éditeur de PHP.
- Le CERT-FR a connaissance de preuves de concept pour deux de ces vulnérabilités, ce qui signifie que des personnes malveillantes pourraient tenter de les exploiter.
Ce que l’on sait sur cette alerte
Le 21 octobre 2026, le CERT-FR (le centre gouvernemental de veille et d’alerte sur la cybersécurité en France) a publié une alerte concernant plusieurs vulnérabilités identifiées dans PHP. Des correctifs ont été mis à disposition par l’éditeur dès cette date.
Le lendemain, le 22 octobre 2026, le CERT-FR a mis à jour son alerte pour signaler un élément important : des preuves de concept existent pour deux de ces vulnérabilités (référencées CVE-2026-109618 et CVE-2026-109619), et cela dans le cadre de déploiements spécifiques de PHP. Une preuve de concept, c’est en quelque sorte une démonstration technique qui montre qu’une faille est bien exploitable. Sa publication augmente le risque que des attaquants s’en emparent.
La description fournie par le CERT-FR ne précise pas davantage la nature exacte des déploiements concernés ni les conséquences potentielles pour les systèmes affectés. Il convient donc de considérer l’ensemble des installations PHP comme potentiellement exposées et d’appliquer les correctifs sans attendre.
Attendre de savoir si l’on est « vraiment concerné » avant d’agir. Dès qu’une preuve de concept est rendue publique, le risque d’exploitation réelle augmente significativement. Mieux vaut appliquer le correctif disponible sans délai, même si votre usage de PHP vous semble limité.
Si votre site ou votre application utilise PHP (c’est le cas de la majorité des sites WordPress, mais aussi de nombreux outils de gestion), parlez-en à votre prestataire informatique ou hébergeur dès aujourd’hui. Demandez-lui de confirmer que la version de PHP utilisée est bien à jour.
Ce qu’il faut faire concrètement
Identifiez si votre site ou vos outils utilisent PHP, puis vérifiez auprès de votre hébergeur ou prestataire informatique que la mise à jour corrective a bien été appliquée. Les correctifs sont disponibles sur le site officiel de l’éditeur PHP. Ne tardez pas : la disponibilité de preuves de concept rend cette alerte plus urgente que d’habitude. Pour suivre l’évolution de la situation, consultez directement l’alerte publiée par le CERT-FR : CERTFR-2026-ALE-014 sur cert.ssi.gouv.fr.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.