par Sécurité numérique. L’équipe en charge du langage PHP a publié en urgence des correctifs pour contrer des failles majeures permettant l’exécution de code à distance. Les administrateurs système sont appelés à agir sans délai.
C’est une course contre la montre qui s’engage pour les administrateurs de systèmes et les équipes de sécurité informatique du monde entier. Le projet PHP a officialisé la publication de correctifs d’urgence pour neutraliser deux vulnérabilités de niveau critique qui affectent de nombreuses versions de ce langage de programmation incontournable. Utilisé comme pilier technique par une part considérable des sites web et des applications en ligne de la planète, PHP fait face à l’une des alertes de sécurité les plus sérieuses de ces derniers mois.
Les failles en question, répertoriées sous les identifiants CVE-2026-109618 et CVE-2026-109619, affichent un score de gravité extrêmement élevé de 9,2 sur 10 selon le référentiel international CVSS. Toutes deux permettent, en théorie, à un attaquant distant non authentifié d’exécuter du code arbitraire sur les serveurs vulnérables. Concrètement, cela signifie qu’un tiers malveillant pourrait potentiellement prendre le contrôle total des machines touchées sans avoir besoin de disposer d’identifiants de connexion.
Face à la menace, le Centre de réponse aux incidents de sécurité informatique des institutions de l’Union européenne, le CERT-EU, a exhorté les organisations à appliquer les mises à jour correctives immédiatement. Les correctifs ont été déployés à travers les nouvelles versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les experts recommandent aux structures qui ne pourraient pas mettre à jour leurs systèmes dans l’immédiat d’isoler temporairement leurs applications connectées à Internet pour parer à tout risque d’intrusion.
Détails techniques
Le danger est d’autant plus grand que les détails techniques de ces failles ont été rendus publics et que des codes d’exploitation informels, d’ores et déjà en circulation, augmentent la probabilité d’attaques automatisées. Les environnements d’exécution les plus divers sont concernés, qu’il s’agisse de PHP-FPM, d’Apache avec le module dédié, de FrankenPHP ou de LiteSpeed. La vigilance doit également s’étendre aux logiciels tiers et aux solutions open source ou commerciales qui intègrent nativement PHP dans leur architecture backend, car ceux-ci se trouvent également exposés par ricochet.
Les versions plus anciennes de PHP, notamment la branche 8.1 et antérieures qui se trouvent en fin de vie, ne reçoivent plus de correctifs officiels de la part de la communauté. Les organisations exploitant ces versions obsolètes font face à un risque particulièrement critique et doivent impérativement envisager une migration rapide vers des environnements pris en charge et sécurisés.
La mise à jour demeure l’unique solution définitive pour éliminer ces failles. Les mesures temporaires de contournement permettent seulement de limiter l’exposition à certains types d’attaques, sans pour autant garantir la sécurité totale des serveurs.
À Savoir
Exécution de code à distance : vulnérabilité informatique critique permettant à un individu mal intentionné d’exécuter des instructions ou des programmes sur un ordinateur ou un serveur cible à distance, souvent avec les privilèges du service compromis.
Score CVSS : système de notation standardisé pour évaluer la gravité des vulnérabilités informatiques, allant de 0 à 10. Un score de 9,2 indique un niveau critique nécessitant une action immédiate.
CERT-EU : entité européenne chargée de la prévention, de la détection et de la réponse aux cybermenaces visant les institutions, organes et agences de l’Union européenne.
CERT-EU recommande fortement de mettre à jour toutes les installations PHP concernées dès que possible vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
Produits concernés
PHP 8.5 versions antérieures à 8.5.12
PHP 8.4 versions antérieures à 8.4.27
PHP 8.3 versions antérieures à 8.3.36
PHP 8.2 versions antérieures à 8.2.35
Branches de fin de vie (PHP 8.1 et plus anciennes), qui ne reçoivent plus de mises à jour du projet PHP.
