PHP.net, le site officiel du langage de programmation, vient d’émettre une alerte très sérieuse. Ce mardi 20 octobre, les mainteneurs de PHP ont prévenu que deux très graves failles de sécurité avaient été décelées. Le langage fait tourner WordPress et 69,3 % des sites web dont la technologie côté serveur est connue, selon W3Techs. Heureusement, un correctif arrive.
Les deux brèches obtiennent chacune 9,2 sur 10 selon l’échelle CVSS (Common Vulnerability Scoring System, version 4.0). Ce système permet de qualifier les failles : à partir de 9, on parle de risque critique. Le CVSS n’est certes pas parfait, mais il a le mérite de rendre l’information compréhensible rapidement.
À ce stade, l’équipe de PHP ne dit encore rien de la nature des failles ni des versions touchées. Ces détails sortiront avec la mise à jour, qui est prévue pour ce mercredi 21 octobre, à 16 h (heure de Paris). En revanche, elle se réserve le droit de la publier plus tôt si les détails deviennent publics ou si des attaques sont repérées.
« Nous invitons tous les utilisateurs de PHP à se préparer dès maintenant afin de pouvoir effectuer la mise à jour dès que la version sera disponible », ajoute encore le site. Si vous gérez un site ou une boutique en ligne en PHP, il vous faut donc être en alerte pour vérifier si ces vulnérabilités vous affectent ou non, et le cas échéant faire la mise à jour.
Une fuite a bousculé le calendrier
Le préavis laissé aux sites web est très court, à peine une journée. Selon la société de sécurité watchTowr, les deux failles devaient pourtant rester sous embargo jusqu’au jeudi 22 octobre. L’équipe de PHP n’évoque pas ce changement de calendrier dans son annonce. Mais des informations sur ces failles ont fuité ce mardi 20 octobre sur Hacker News, le forum de l’incubateur Y Combinator, dans un message depuis supprimé.
Benjamin Harris, CEO de watchTowr, a indiqué à BleepingComputer qu’il s’agit de deux failles d’exécution de code à distance, qui permettraient à un attaquant de faire tourner son propre code sur le serveur visé. « Nous pouvons confirmer que ces vulnérabilités sont bien réelles », a-t-il ajouté. Il leur attribue même la note maximale de 10, contre 9,2 pour l’équipe de PHP. watchTowr dit avoir déjà reproduit l’une des deux failles, mais n’avoir observé aucune exploitation par des pirates à ce stade.
Selon Benjamin Harris, toutes les versions de PHP seraient concernées depuis la version 5, sortie en juillet 2004. Les versions majeures suivantes datent de 2015 (PHP 7) et 2020 (PHP 8). La plus récente mise à jour date de novembre 2025 (PHP 8.5), et la suivante est attendue en novembre 2026 (PHP 8.6). Ces anciennes versions restent très répandues : d’après W3Techs, 27 % des sites en PHP tournent encore sur PHP 7 et 7,7 % sur PHP 5.
Les identifiants publics des deux failles sont CVE-2026-109618 et CVE-2026-109619.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Pour ne rien manquer de l’actualité, suivez Numerama sur Google !