Failles PHP critiques : que faire pour votre site PME ?.

Alerte sécurité : failles PHP critiques, votre site PME est-il en danger ?

Le 21 octobre 2026, de nombreux sites web et plateformes en ligne ont été mis hors service par précaution à travers l'Europe. En cause : deux failles critiques découvertes dans PHP, le moteur qui alimente une grande majorité du web mondial — incluant vos sites WordPress, boutiques PrestaShop/Magento, et portails applicatifs PME.

Ces vulnérabilités permettent à un attaquant de prendre le contrôle à distance de votre serveur web. Des patchs d'urgence ont été publiés, mais des tentatives d'exploitation active sont déjà recensées. Chaque heure compte pour sécuriser vos environnements.

Dans cet article, les experts de Core Security vous expliquent comment savoir si vous êtes concerné, les risques encourus et les actions précises à exiger de vos prestataires dès aujourd'hui. Pour mesurer l'impact d'une interruption d'activité, consultez aussi notre guide pour éviter l'arrêt d'activité après une cyberattaque.

Mise à jour du 21 octobre 2026 : Les correctifs officiels ont été déployés. La menace étant activement exploitée, nous vous recommandons de contrôler immédiatement vos infrastructures ou d'effectuer une vérification auprès de votre hébergeur.

Définition : que sont les failles PHP CVE-2026-109618 et CVE-2026-109619 ?

Les failles CVE-2026-109618 et CVE-2026-109619 sont deux vulnérabilités majeures du moteur PHP, évaluées à 9,2/10 sur l'échelle CVSS v4.0. Elles permettent à un cybercriminel d'exécuter du code arbitraire à distance (RCE) sur un serveur web, sans aucune authentification préalable.

L'exécution de code à distance est l'un des scénarios les plus critiques en cybersécurité : l'attaquant obtient des privilèges équivalents à ceux de l'administrateur de la machine. Le danger ne réside pas dans le code de votre site ou dans un plugin défectueux, mais au niveau de l'infrastructure d'exécution PHP elle-même.

Questions fréquentes : réponses rapides

Mon entreprise est-elle concernée ?

Oui, dès lors que votre site web, extranet, e-commerce ou outil métier fonctionne sous PHP (WordPress, PrestaShop, Drupal, Magento, Laravel, Symfony ou développements sur mesure).

Ces failles sont-elles déjà exploitées ?

Oui. Plusieurs acteurs de la sécurité (dont Cloudflare et watchTowr) observent des balayages et tentatives d'exploitation depuis le 21 octobre. La menace doit être traitée comme imminente.

Que faire en priorité ?

Mettre à jour la version de PHP sur votre serveur vers l'une des moutures sécurisées : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Si vous ne gérez pas votre serveur, sollicitez immédiatement votre infogérant ou hébergeur.

Faut-il couper mon site en attendant ?

Si la mise à jour ne peut pas être appliquée immédiatement et que le site n'est pas critique minute par minute, une mise en maintenance temporaire ou l'activation d'un pare-feu applicatif (WAF) permet de limiter l'exposition.

Que s'est-il passé exactement ?

Fuite d'informations et correctifs d'urgence

Le 20 octobre 2026, des détails concernant deux failles zero-day ont fuité. Après confirmation de la vulnérabilité par les équipes de recherche, l'éditeur officiel de PHP a publié des correctifs en urgence le 21 octobre.

Synthèse de la situation

• Confirmé par PHP : Deux vulnérabilités RCE critiques (CVSS 9.2) impactant les installations traitant des requêtes web (exposition accrue avec l'usage de mod_php sur Apache).
• Alerte sur les versions obsolètes : Les versions anciennes (PHP 7.x, 5.x et PHP 8.1) ne bénéficient plus de support officiel et restent vulnérables sans patch sur mesure ou migration.
• Attaques constatées : Des robots automatisés scannent actuellement le web à la recherche de serveurs non patchés.

Quelles sont les versions de PHP corrigées ?

Vérifiez que vos serveurs utilisent au minimum les versions suivantes :

Comment vérifier votre niveau de risque ?

Signes de compromission à surveiller

Si votre serveur était exposé avant l'application du correctif, contrôlez les éléments suivants :

• Apparition de fichiers .php suspects dans les répertoires de stockage (ex: /uploads/),
• Création de nouveaux comptes administrateurs non autorisés,
• Consommation anormale du processeur (CPU) ou envois massifs d'e-mails (spam),
• Redirections web malveillantes vers des sites tiers.

En cas de doute sur la présence d'une porte dérobée (*backdoor*), conservez immédiatement les journaux d'accès (*access logs*). Notre équipe peut intervenir pour effectuer une levée de doute et procéder à un nettoyage sécurisé.

Plan d'action en 5 étapes pour les PME

1. Cartographier : Identifiez tous vos serveurs web et applications fonctionnant sous PHP.
2. Auditer : Vérifiez la version exacte de PHP exécutée sur chaque environnement.
3. Mettre à jour : Appliquez immédiatement les patchs d'urgence (PHP 8.2+).
4. Isoler : Protégez ou migrez en urgence les applications bloquées sur d'anciennes versions (PHP 7/8.1).
5. Surveiller : Analysez les logs pour détecter toute activité anormale récente.

Conclusion & Accompagnement Core Security

Les vulnérabilités PHP critiques représentent une opportunité majeure pour les attaquants. Face à des attaques automatisées, la réactivité de votre chaîne de sécurité est essentielle.

Vous souhaitez vérifier la sécurité de vos serveurs ou mettre en place une protection managée globale ? Contactez les experts de Core Security à Paris pour un diagnostic rapide de votre exposition.

Ressource : CVE-2026-109618 & CVE-2026-109619