Le 21 octobre 2026, l’équipe de sécurité de PHP a publié des correctifs d’urgence pour deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619. Leur gravité est évaluée à 9,2 sur 10.
Le lendemain, Orange suspendait temporairement l’accès à plusieurs de ses sites, services et applications, le temps de déployer les correctifs et de vérifier ses systèmes.
PHP est le langage qui fait tourner WordPress, Drupal, Joomla, Magento ou Laravel. Si votre site vitrine ou e-commerce repose sur l’un d’eux, vous êtes directement concerné. Voici ce que permettent ces failles, pourquoi mettre à jour WordPress ne suffit pas, et ce qu’il faut faire dès cette semaine.
Ce que permettent ces deux failles
Les deux failles autorisent une exécution de code à distance sans authentification. Autrement dit : un attaquant envoie une requête à votre site et fait exécuter son propre code sur votre serveur, sans identifiant ni mot de passe.
Concrètement, cela ouvre la porte à :
- la modification de vos pages ou l’injection de code malveillant ;
- l’accès à votre base de données (comptes clients, commandes, formulaires de contact) ;
- l’installation de redirections vers des sites frauduleux.
SUR LE PLAN TECHNIQUE
CVE-2026-109618 corrompt la mémoire du serveur lorsque PHP manque de mémoire en cours de traitement d’une requête.
CVE-2026-109619 est une faille de type « use-after-free » : une requête réutilise une zone mémoire déjà libérée par une requête précédente traitée par le même processus.
Toutes les configurations courantes sont touchées : PHP-FPM, Apache avec mod_php, CGI, LiteSpeed. La configuration mod_php est jugée la plus exposée, car l’attaque peut aboutir avant même que le code de votre site ne s’exécute. Le cabinet Calif affirme avoir confirmé l’exploitation sur certaines versions de WordPress, Drupal, Joomla et Magento.
Pourquoi l’alerte est sérieuse
Trois éléments distinguent cette alerte d’une mise à jour de sécurité ordinaire.
- Des attaques avant même la publication. Amazon a observé une première tentative d’exploitation le 17 octobre, quatre jours avant l’annonce officielle. Amazon et Cloudflare rapportent depuis des attaques visant ces failles.
- Un volume considérable. Selon les estimations relayées par Tenable, entre 1,3 et 1,9 million de serveurs exposent une version de PHP potentiellement vulnérable.
- Des grands comptes qui coupent l’accès. Quand un groupe comme Orange, doté d’équipes de sécurité dédiées, préfère suspendre des services plutôt que de prendre le risque, le signal est clair.
Pour une PME, l’enjeu dépasse la sécurité informatique. Un site compromis peut être signalé comme dangereux par Google Safe Browsing : vos visiteurs voient alors un avertissement rouge dans leur navigateur, votre trafic SEO s’effondre et Google Ads refuse les annonces qui pointent vers un site malveillant. Remonter la pente prend des semaines.
Mettre à jour WordPress ne suffit pas
C’est le point le plus souvent mal compris. Quand la mise à jour de WordPress corrige votre CMS, la mise à jour de PHP corrige le moteur qui l’exécute. Ce sont deux couches distinctes, gérées à deux endroits différents.
- WordPress, le thème et les extensions se mettent à jour depuis votre interface d’administration.
- PHP est installé sur le serveur. Sur un hébergement mutualisé, il dépend de votre hébergeur. Sur un serveur dédié ou un VPS, il dépend de vous ou de votre prestataire technique.
Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Au-delà, la situation se complique :
| Version PHP | Situation |
|---|---|
| PHP 7.4 à 8.1 | Pas de nouvelle version officielle, seulement des correctifs à appliquer au code source par l’administrateur du serveur. |
| PHP 5.4 à 7.3 | Aucun correctif. La seule issue est de migrer vers une version maintenue. |
Une montée de version PHP n’est pas anodine pour autant. Un thème ancien ou une extension peu maintenue peut cesser de fonctionner et provoquer une page blanche ou une erreur 500. D’où la nécessité de sauvegarder et de tester avant de basculer.
Ce qu’il faut faire cette semaine
- Identifier votre version de PHP. Dans WordPress : Outils, puis Santé du site, onglet Infos, rubrique Serveur.
- Vérifier auprès de votre hébergeur que le correctif est appliqué, en demandant le numéro de version exact.
- Sauvegarder le site et la base de données avant toute modification.
- Planifier la migration si vous êtes sur une version ancienne, en testant au préalable la compatibilité du thème et des extensions.
- Rechercher des traces de compromission depuis le 17 octobre : comptes administrateurs inconnus, fichiers modifiés récemment, redirections suspectes, rubrique « Problèmes de sécurité » de la Google Search Console.
- Si vous gérez votre propre serveur (dédié ou VPS) et devez couper le site le temps du correctif, renvoyez un code HTTP 503, pas une 404 ni une 500. Le code 503 signale à Google une indisponibilité temporaire : il revient plus tard sans retirer vos pages de l’index. Une 404 lui indique que la page n’existe plus, et une 500 répétée finit par ralentir l’exploration de votre site. Ajoutez si possible un en-tête Retry-After pour indiquer le délai de retour.
- Considérer les protections temporaires comme provisoires. Un pare-feu applicatif (comme celui de Cloudflare) ou un réglage de configuration réduit le risque, mais ne remplace pas le correctif.
Ce que BlueMarketing prend en charge pour vous
Ces vérifications demandent du temps, des accès techniques et une réaction rapide. C’est précisément l’objet de notre maintenance WordPress, réalisée en interne, sans sous-traitance.
- Mises à jour quotidiennes de WordPress, du thème et des extensions. Résultat : les failles côté CMS sont corrigées sans attendre.
- Surveillance 24h/24 contre les virus, malwares et vulnérabilités, pare-feu et vérification quotidienne de votre site sur les listes noires (Google Safe Browsing, Norton Safe Web, ESET). Résultat : une compromission est détectée avant que Google ne la signale à vos visiteurs.
- Sauvegarde quotidienne du site et de la base de données. Résultat : un retour arrière reste possible si une mise à jour pose problème.
- Suivi de disponibilité avec alerte par e-mail ou SMS, et intervention dans la journée si le site tombe. Résultat : une coupure se compte en heures, pas en jours.
- Veille et recommandations techniques, dont la version de PHP de votre hébergement. Résultat : vous savez quoi faire et quand, sans avoir à suivre vous-même les alertes de sécurité.
- Rapport mensuel sur les mises à jour, les sauvegardes, la disponibilité et le niveau de sécurité.
Votre site n’est pas sous maintenance, ou vous avez un doute sur son état technique ?
Version de PHP dépassée, extensions jamais mises à jour, aucune sauvegarde récente : ce sont exactement les failles que les attaques actuelles exploitent. Parlons-en.
En 15 minutes de visio, nous faisons le point avec vous sur l’état de votre site et sur les actions prioritaires.
Laisser un commentaire
À propos de l'auteur : Sébastien Renaudeau
Nos derniers projets digitaux
Découvrez les stratégies digitales et les solutions opérationnelles co-créées avec nos clients.
Énergie Solaire 85 - Installateur de panneaux solaires en Vendée
Dome Solar - Fabricant de fixations PV
