Deux failles PHP critiques, identifiées comme CVE-2026-109618 et CVE-2026-109619, ont conduit à la publication de correctifs de sécurité le 21 octobre 2026. Elles peuvent, dans certaines conditions, permettre l’exécution de code à distance sans authentification. Le projet PHP, WordPress et Cloudflare appellent les administrateurs de sites à mettre à jour le moteur PHP utilisé par leurs serveurs. Voici les versions corrigées et les vérifications utiles, notamment pour les sites WordPress.
Publié le 22 octobre 2026. Informations fondées sur les avis officiels PHP, WordPress.org et Cloudflare.
Failles PHP critiques : l’essentiel à savoir
- Deux vulnérabilités critiques : CVE-2026-109618 et CVE-2026-109619, surnommées « php2shell » dans la communication de Cloudflare.
- Conséquences possibles : exécution de code à distance, interruption de service et exposition de données selon la configuration.
- Correctifs publiés : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- WordPress concerné indirectement : la faille porte sur le langage PHP exécuté par le serveur, pas sur un plugin ou un thème.
- Mesure prioritaire : installer la version corrigée de la branche utilisée ou migrer vers une branche maintenue.
Pourquoi ces vulnérabilités PHP inquiètent autant
PHP est le langage qui fait fonctionner une grande partie des applications web, dont WordPress et plusieurs plateformes de commerce électronique. Un défaut dans son moteur d’exécution peut ainsi concerner de nombreux sites sans qu’une erreur se trouve nécessairement dans leur propre code.
Selon l’avis de sécurité publié par le projet PHP le 21 octobre, les deux vulnérabilités peuvent ouvrir la voie à une exécution de code à distance sans authentification dans certaines configurations. Le risque n’est pas identique sur toutes les installations : il dépend notamment du mode d’exécution de PHP et des conditions techniques d’exploitation. Mais la gravité justifie une mise à jour rapide.
Le projet PHP indique que le risque est particulièrement élevé avec mod_php dans Apache, pour lequel une exploitation avant l’exécution du code applicatif a été démontrée. Les environnements PHP-FPM, php-cgi, FrankenPHP et LiteSpeed figurent aussi parmi les déploiements concernés par l’avis général.
Quelles versions de PHP installer pour corriger les failles ?
Les versions corrigées, telles qu’annoncées le 21 octobre 2026, sont les suivantes :
| Branche PHP | Version corrigée annoncée | Action conseillée |
|---|---|---|
| PHP 8.5 | 8.5.12 | Mettre à jour au minimum vers 8.5.12 |
| PHP 8.4 | 8.4.27 | Mettre à jour au minimum vers 8.4.27 |
| PHP 8.3 | 8.3.36 | Mettre à jour au minimum vers 8.3.36 |
| PHP 8.2 | 8.2.35 | Appliquer le correctif, puis anticiper la fin de maintenance de la branche |
| Branches PHP antérieures à 8.2 | Pas de correctif officiel de maintenance courante | Planifier une migration vers une version prise en charge |
Le projet PHP précise que PHP 8.2 arrive en fin de vie le 31 décembre 2026. Mettre à jour cette branche aujourd’hui ne dispense donc pas de préparer son remplacement. En production, évitez les versions bêta ou Release Candidate à la place d’une version stable corrigée.
WordPress : comment connaître la version PHP de son site ?
WordPress.org a consacré un avis officiel à cette alerte le 21 octobre. L’équipe recommande aux propriétaires de sites de vérifier leur version de PHP et de faire appliquer les correctifs même si leur site semble fonctionner normalement.
- Ouvrez l’administration de votre site WordPress.
- Rendez-vous dans Outils > Santé du site > Informations > Serveur pour consulter la version de PHP utilisée.
- Comparez-la au tableau des versions corrigées ci-dessus.
- Si PHP est trop ancien, vérifiez les options de version dans le panneau de votre hébergeur ou contactez son assistance technique.
- Avant une migration majeure, sauvegardez le site et sa base de données, puis testez la compatibilité des extensions et du thème.
Attention : mettre simplement à jour WordPress, un plugin de sécurité ou le thème du site ne répare pas une vulnérabilité présente dans l’interpréteur PHP du serveur. C’est la version de PHP installée sur l’hébergement qui doit être corrigée.
Un pare-feu Cloudflare suffit-il à protéger le site ?
Cloudflare annonce avoir activé ses protections WAF contre « php2shell » sur ses offres gratuites et payantes à partir du 21 octobre, 03 h 02 UTC. Le fournisseur dit avoir observé du trafic d’attaque et adapté ses règles face à des variantes des requêtes malveillantes.
Ces mesures peuvent réduire l’exposition pendant la mise à jour. Elles ne constituent toutefois pas un substitut au correctif PHP. Cloudflare recommande lui-même de mettre à jour PHP, même lorsque le pare-feu applicatif reste activé.
Pour les organisations dont le serveur est administré par un hébergeur, il est pertinent de demander la version exacte de PHP, la date d’application du correctif et les mesures provisoires prises. En cas d’impossibilité de corriger un système très ancien, l’avis de WordPress évoque la possibilité de retirer temporairement le service d’Internet jusqu’à sa sécurisation.
Comment l’IA a contribué à la découverte des failles
OpenAI explique dans son initiative Patch the Planet que des chercheurs ont utilisé GPT‑5.6 Sol pour identifier une vulnérabilité critique, tandis que Wiz a découvert indépendamment et signalé les deux problèmes. La publication des correctifs a été coordonnée avec les mainteneurs de PHP, ainsi qu’avec des partenaires de sécurité comme Cloudflare.
Ce contexte éclaire une évolution : les outils d’IA peuvent accélérer la découverte de problèmes informatiques, mais la responsabilité de tester, corriger et déployer les mises à jour reste entre les mains des équipes humaines et des responsables de maintenance.
Sur un autre risque touchant les services de développement assisté par IA, TechPi a récemment détaillé les clés API potentiellement exposées lors de l’incident OpenCode Console. Ici, l’urgence n’est pas le renouvellement des clés, mais bien la mise à jour du moteur PHP.
Notre analyse : une priorité pour les hébergements web
La portée des failles PHP critiques tient au caractère transversal de ce langage : une seule couche logicielle est commune à des milliers d’applications. En conséquence, un site dont WordPress et les extensions sont à jour peut néanmoins rester exposé si PHP ne l’est pas. La bonne réponse consiste à vérifier la version en production, demander la mise à jour et garder les protections complémentaires actives pendant la transition.
FAQ sur les failles PHP d’octobre 2026
Mon site WordPress est-il automatiquement piraté ?
Non. La présence d’une version potentiellement vulnérable ne prouve pas une compromission. Elle doit toutefois être traitée en urgence et peut justifier une revue des journaux si l’hébergement a été exposé.
Quelle est la dernière version PHP 8.4 corrigée ?
Pour cette alerte du 21 octobre 2026, le correctif annoncé pour la branche 8.4 est PHP 8.4.27.
Une mise à jour de WordPress suffit-elle ?
Non, puisque les failles sont situées dans PHP. WordPress.org indique qu’aucune mise à jour spécifique du cœur WordPress n’est nécessaire pour corriger ces vulnérabilités.
Dois-je couper mon site le temps de la correction ?
La décision dépend du niveau de risque et de la capacité de l’hébergeur à appliquer rapidement le correctif. Pour les installations obsolètes qui ne peuvent pas être sécurisées immédiatement, une mise hors ligne temporaire peut être envisagée avec l’administrateur.
Sources officielles
- PHP.net — Avis de sécurité et versions corrigées du 21 octobre 2026.
- WordPress.org Français — Mise à jour de sécurité critique de PHP.
- Cloudflare — Protections WAF contre php2shell.
- OpenAI — Patch the Planet et divulgation coordonnée.
- Crédit illustration : logo PHP par Colin Viebrock / Wikimedia Commons.
