Le projet PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 afin de corriger deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, permettant l’exécution de code à distance sans authentification. Le projet PHP recommande vivement à tous les utilisateurs de PHP de procéder à la mise à jour immédiatement. Nous vous conseillons de vous assurer que chaque site que vous gérez utilise une version corrigée de PHP dans les plus brefs délais.

L’exécution de code à distance signifie qu’un attaquant pourrait exécuter son propre code sur votre serveur. « Non authentifié » signifie qu’il n’aurait pas besoin de se connecter au préalable. Dans son avis préliminaire du 20 octobre, l’équipe de sécurité PHP a attribué à ces deux vulnérabilités la note de 9,2 sur l’échelle CVSS v4.0, ce qui les classe dans la catégorie critique.

Tous les sites WordPress fonctionnent avec PHP. Ces vulnérabilités proviennent de PHP lui-même, et non de WordPress, d’une extension ou d’un thème ; par conséquent, les mises à jour automatiques de WordPress ne les corrigeront pas. PHP doit être mis à jour sur le serveur.

L’équipe de veille sur les menaces de Wordfence enquête actuellement sur ces vulnérabilités et nous publierons des mises à jour si nécessaire.

Qui est concerné ?

Selon l’ avis de sécurité concernant PHP , toutes les installations PHP traitant des requêtes web sont vulnérables, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le projet PHP considère que le risque est le plus élevé pour mod_php, car une faille de sécurité a été démontrée : une requête non authentifiée peut déclencher l’attaque avant même l’exécution du code applicatif.

Versions corrigées

• PHP 8.5 : mise à jour vers la version 8.5.12
• PHP 8.4 : mise à jour vers la version 8.4.27
• PHP 8.3 : mise à jour vers la version 8.3.36
• PHP 8.2 : mise à jour vers la version 8.2.35. Le projet PHP indique que PHP 8.2 atteindra sa fin de vie le 31 décembre 2026 et ne recevra plus de correctifs de sécurité après cette date.

PHP 8.1 et les versions antérieures ne sont plus mises à jour par le projet PHP. Ce dernier indique que certaines distributions Linux et certains fournisseurs de logiciels à support long terme (LTS) proposent des correctifs rétroportés ; il est donc conseillé de contacter votre fournisseur ou de mettre à niveau votre système vers une version prise en charge. L’équipe de sécurité PHP a également publié des correctifs rétroportés minimaux pour PHP 7.4 , PHP 8.0 et PHP 8.1 à destination des personnes compilant PHP à partir des sources ou n’ayant pas accès à un fournisseur LTS.

Que faire maintenant

• Vérifiez votre version de PHP. Dans votre tableau de bord WordPress, accédez à Outils > Santé du site , ouvrez l’ onglet Informations et développez la section Serveur . Si votre version de PHP provient d’une distribution Linux ou d’un fournisseur LTS, le numéro de version peut ne pas changer après l’application d’un correctif. Veuillez donc vérifier auprès de votre hébergeur ou consulter les informations de sécurité de votre fournisseur.
• Si votre fournisseur d’hébergement gère PHP pour vous, contactez-le ou consultez sa page d’état pour confirmer qu’il a bien effectué la mise à jour vers l’une des versions corrigées.
• Si vous gérez votre propre serveur, effectuez une sauvegarde, puis installez les paquets PHP mis à jour depuis le site de votre distribution Linux ou de votre fournisseur LTS. Le projet PHP indique que ces fournisseurs ont reçu les correctifs en avant-première. Les sources et les binaires ( pour Windows et Windows) sont disponibles sur la page de téléchargement de PHP.
• Si vous utilisez le dépôt remirepo ( maintenu par des bénévolesrpms.remirepo.net ), vérifiez la disponibilité de mises à jour pour les paquets. L’avis de sécurité PHP indiquait que le dépôt ne serait plus mis à jour le 21 octobre, mais la Fondation PHP a depuis annoncé que son responsable signe désormais les paquets mis à jour. Cet avis recommande également aux utilisateurs de remirepo de passer aux paquets de distribution ou de compiler à partir des sources afin de pouvoir appliquer les mises à jour immédiatement.

Si vous ne pouvez pas mettre à jour immédiatement

Le projet PHP indique que seule une mise à jour constitue une solution complète. Pour ceux qui ne peuvent pas effectuer la mise à jour immédiatement, son avis de sécurité propose des mesures permettant de réduire l’exposition à certaines vulnérabilités, sans toutefois garantir la sécurité de l’installation. Si vous ou votre hébergeur en avez besoin, suivez scrupuleusement les instructions de l’ avis de sécurité PHP .

Alert Wordfence

Besoin d’aide ?

Nos partenaires peuvent contacter notre équipe d’intervention en cas de besoin. Le service d’intervention rapide offre une disponibilité 24h/24 et 7j/7 avec un délai de réponse d’une heure.
Obtenez de l’aide en cas d’incident