En bref
- Le fait. Le 21 octobre 2026, le projet PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Elles corrigent deux failles critiques qui peuvent permettre à un attaquant, sans compte ni mot de passe, d'exécuter du code sur un serveur web qui utilise PHP. Le CERT-FR a publié une alerte de sécurité (CERTFR-2026-ALE-014).
- Êtes-vous concerné ? Très probablement si votre site internet, votre boutique en ligne ou un outil métier en ligne fonctionne avec PHP. C'est le cas des sites WordPress, PrestaShop, Joomla ou Drupal, qui reposent sur PHP. Les hébergements mutualisés sont concernés aussi : c'est alors l'hébergeur qui installe la version corrigée, et vous qui choisissez la version de PHP utilisée par votre site.
- Quoi faire :
- demandez dès aujourd'hui à votre hébergeur, à votre prestataire web ou à votre équipe technique de confirmer que PHP est passé en 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récent ;
- si votre site tourne encore en PHP 8.1 ou plus ancien, faites planifier la migration vers une version maintenue : le projet PHP ne publie plus de correctif officiel pour ces versions ;
- dans l'attente, faites appliquer les mesures provisoires indiquées dans l'alerte du CERT-FR et dans l'avis du projet PHP, en gardant à l'esprit qu'elles ne remplacent pas la mise à jour.
- Urgence : critique. Le projet PHP recommande de mettre à jour immédiatement ; le CERT-FR recommande la migration vers une version maintenue et à jour.
Détail technique
Identifiants. CVE-2026-109618 (GHSA-w8hw-w9fx-j79w, corruption mémoire lors de la gestion d'un manque de mémoire) et CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp, état interne réutilisé après libération entre deux requêtes). Les deux sont notées 9.2 (CVSS v4.0, critique) par le projet PHP. Alerte CERT-FR CERTFR-2026-ALE-014 (21 octobre 2026, mise à jour le 22 octobre 2026) et avis CERTFR-2026-AVI-1359.
Versions affectées et corrigées.
| Branche | Affectées | Version à installer |
|---|---|---|
| 8.5 | antérieures à 8.5.12 | 8.5.12 ou ultérieure |
| 8.4 | antérieures à 8.4.27 | 8.4.27 ou ultérieure |
| 8.3 | antérieures à 8.3.36 | 8.3.36 ou ultérieure |
| 8.2 | antérieures à 8.2.35 | 8.2.35 ou ultérieure |
| 8.1, 8.0, 7.x, 5.x | toutes | pas de version officielle : migration, ou correctif de la distribution |
Pour 7.4, 8.0 et 8.1, l'équipe PHP indique avoir fourni des rétroportages minimaux à l'intention de ceux qui compilent PHP eux-mêmes ; les distributions Linux et éditeurs de support étendu ont reçu les correctifs en avance. Vérifiez auprès de votre distribution que le paquet installé intègre bien ces deux CVE. La branche 8.2 arrive en fin de vie le 31 décembre 2026, selon le projet PHP.
Modes d'exécution concernés. Selon l'avis PHP, toutes les installations qui servent des requêtes web sont à risque : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le projet PHP estime le risque le plus élevé avec Apache mod_php.
KEV. Non : les deux CVE ne figurent pas au catalogue KEV de la CISA (version du 21 octobre 2026).
Exploitation active. Aucune exploitation active confirmée n'est signalée par le CERT-FR ni par le projet PHP à la date de ce billet ; QNAP indique toutefois, dans sa déclaration du 22 octobre 2026, observer des balayages et des tentatives d'exploitation. Nous ne détaillons pas ces éléments.
Mesures provisoires officielles (non qualifiées par le CERT-FR, partielles selon le projet PHP) : appliquez celles indiquées dans l'alerte du CERT-FR et dans l'avis du projet PHP, après évaluation par l'équipe technique, car certaines peuvent avoir un effet sur la disponibilité du site.
Le CERT-FR recommande par ailleurs d'isoler les équipements affectés le temps de la migration.
Vérifier sa version. Sur un serveur : php -v en ligne de commande, en vérifiant aussi la version utilisée par le serveur web (PHP-FPM ou module Apache), qui peut différer. Sur un hébergement mutualisé : espace client de l'hébergeur (rubrique de configuration PHP) ou page d'information système de votre CMS (sous WordPress : Outils, Santé du site, Informations, Serveur). Après mise à jour, redémarrez PHP-FPM ou Apache pour que la nouvelle version soit effectivement chargée.