Faille PHP d'octobre 2026 : versions touchées et mise à jour à faire

Par Mouhamed BANKOLE, CEO chez ITNET Technologies · Mis à jour le 27 octobre 2026 · Lecture : 8 min

Le 21 octobre 2026, le projet PHP a publié en urgence des mises à jour de sécurité corrigeant deux failles critiques qui permettent d'exécuter du code à distance sans authentification (annonce de php.net). Le CERT-FR, rattaché à l'ANSSI, a émis une alerte le même jour et constate depuis des tentatives d'exploitation (alerte CERTFR-2026-ALE-014). PHP fait tourner la plupart des sites WordPress, PrestaShop ou Drupal : si vous avez un site, vous êtes probablement concerné. Voici ce qui est établi sur cette faille PHP, les versions touchées, comment vérifier la vôtre et quoi faire aujourd'hui.

En résumé

• Deux failles critiques de PHP permettent d'exécuter du code à distance sans authentification ; elles sont corrigées depuis le 21 octobre 2026.
• Les versions sûres sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ou plus récentes ; toutes les versions 8.1 et antérieures sont touchées.
• Le CERT-FR constate des tentatives d'exploitation : la mise à jour est urgente.
• Sur un hébergement mutualisé, l'hébergeur met PHP à jour ; sur un VPS ou un serveur dédié, c'est à vous de le faire.
• En attendant la mise à jour, le CERT-FR cite des mesures provisoires, comme désactiver une option de PHP et filtrer certaines requêtes avec un pare-feu applicatif.

Sommaire

1. Que s'est-il passé avec PHP en octobre 2026 ?
2. Quelles versions de PHP sont touchées ?
3. Qu'est-ce que cela change pour votre site ?
4. Comment connaître votre version de PHP ?
5. Que faire concrètement dès aujourd'hui ?
6. Que faire si vous ne pouvez pas mettre à jour tout de suite ?
7. Hébergement mutualisé ou VPS : qui doit faire la mise à jour ?
8. Et si votre version de PHP n'est plus maintenue ?
9. Comment ne plus être pris de court à la prochaine faille ?

Que s'est-il passé avec PHP en octobre 2026 ?

Le projet PHP a annoncé le 20 octobre 2026 une mise à jour de sécurité critique, publiée le lendemain, qui corrige deux failles notées 9,2 sur 10 selon l'échelle CVSS v4.0 (annonce de php.net). Ces failles portent les identifiants CVE-2026-109618 et CVE-2026-109619 (php.net).

Ce qui est établi, d'après les sources officielles :

• les deux failles permettent une exécution de code à distance sans authentification (php.net) ;
• le CERT-FR a publié l'alerte CERTFR-2026-ALE-014 le 21 octobre 2026, mise à jour le 26 octobre (CERT-FR) ;
• le CERT-FR constate des tentatives d'exploitation de ces deux failles et signale l'existence de preuves de concept publiques (CERT-FR) ;
• une troisième faille, CVE-2026-115560, a été annoncée le 23 octobre ; elle ne concerne qu'une combinaison de réglages que l'éditeur juge peu probable, et aucune exploitation n'est signalée (CERT-FR).

Ce qui est annoncé : le projet PHP publiera l'avis complet sur CVE-2026-115560 avec la prochaine version corrective (php.net).

Quelles versions de PHP sont touchées ?

Toutes les versions de PHP antérieures aux correctifs du 21 octobre 2026 sont touchées, y compris les branches 5, 7, 8.0 et 8.1 qui ne reçoivent plus de mises à jour officielles (alerte du CERT-FR).

Sources : alerte CERTFR-2026-ALE-014 pour les versions touchées, annonces de php.net pour les versions corrigées et la fin de vie de la branche 8.2.

Pour les branches 7.4, 8.0 et 8.1, le projet PHP indique ne plus publier de mises à jour, mais met à disposition des correctifs minimaux dans son code source (php.net) : ils s'adressent aux équipes capables de recompiler PHP elles-mêmes.

Qu'est-ce que cela change pour votre site ?

Si votre site tourne sur une version de PHP non corrigée, un attaquant peut potentiellement prendre le contrôle du serveur sans identifiant, d'où l'urgence signalée par le CERT-FR.

Les risques concrets d'une prise de contrôle :

• installation de code malveillant sur votre site (redirections, pages de phishing, logiciels de minage) ;
• vol de données : comptes clients, commandes, formulaires, fichiers de configuration ;
• utilisation du serveur pour d'autres attaques, avec un risque de mise sur liste noire de votre domaine ;
• dégradation du référencement si Google détecte un site compromis.

Analyse : le CERT-FR précise que les tentatives observées ciblent « des déploiements spécifiques de PHP » (CERT-FR). Tous les sites ne sont donc pas exposés de la même façon, mais faute de pouvoir le vérifier facilement soi-même, la seule attitude raisonnable est de mettre à jour.

Comment connaître votre version de PHP ?

Le plus simple est de regarder dans le panneau de contrôle de votre hébergement ou, pour un site WordPress, dans l'outil « Santé du site ».

Quatre méthodes, de la plus simple à la plus technique :

1. le panneau d'hébergement : la version de PHP est affichée dans la section dédiée à PHP ou au site ;
2. WordPress : menu « Outils », puis « Santé du site », onglet « Infos », rubrique « Serveur » ;
3. un fichier temporaire contenant phpinfo() placé sur le site, à supprimer aussitôt après lecture (il expose des informations sensibles) ;
4. en ligne de commande sur un VPS : php -v ; si vous utilisez PHP-FPM, vérifiez aussi la version du service web, qui peut différer.

Notez le numéro complet (par exemple 8.3.36, et pas seulement 8.3) : c'est lui qui dit si le correctif est installé.

Que faire concrètement dès aujourd'hui ?

Vérifiez votre version de PHP, mettez à jour vers une version corrigée, puis contrôlez que votre site fonctionne et qu'aucun fichier suspect n'est apparu.

La marche à suivre :

1. faites une sauvegarde complète du site (fichiers et base de données) ;
2. passez à une version corrigée de votre branche (8.5.12, 8.4.27, 8.3.36 ou 8.2.35 au minimum) ;
3. mettez à jour votre CMS et ses extensions dans la foulée, pour éviter les incompatibilités ;
4. testez les pages clés : accueil, formulaires, panier, espace client ;
5. vérifiez les journaux et les fichiers récents à la recherche de fichiers PHP que vous n'avez pas créés ;
6. changez les mots de passe d'administration si vous constatez la moindre anomalie.

Conseil de pro : faites la mise à jour sur une copie du site (environnement de préproduction) quand c'est possible, puis appliquez-la en production. Une montée de version mineure (8.3.x vers 8.3.36) pose rarement problème ; un changement de branche (8.1 vers 8.3) demande plus de tests.

Pour les sites WordPress, notre guide sur l'hébergement WordPress rappelle comment choisir et maintenir sa version de PHP.

Que faire si vous ne pouvez pas mettre à jour tout de suite ?

Le CERT-FR liste des mesures provisoires, qu'il précise ne pas avoir qualifiées : elles réduisent le risque mais ne remplacent pas la mise à jour (CERT-FR).

Les mesures citées par le CERT-FR :

• désactiver l'option session.upload_progress dans la configuration de PHP ; elle n'atténue toutefois qu'une seule des deux failles (CERT-FR) ;
• filtrer avec un pare-feu applicatif (WAF) certaines requêtes d'envoi de fichiers, ou les surveiller si le blocage est impossible (CERT-FR) ;
• isoler les serveurs concernés en attendant de migrer vers une version corrigée.

Ces réglages peuvent casser certaines fonctions du site (barre de progression d'envoi, formulaires d'upload) : testez-les avant de les laisser en place.

Hébergement mutualisé ou VPS : qui doit faire la mise à jour ?

Sur un hébergement mutualisé, c'est l'hébergeur qui installe les versions corrigées de PHP ; sur un VPS ou un serveur dédié non infogéré, c'est vous.

Ce que cela implique :

• hébergement mutualisé : vérifiez que la version corrigée est disponible et que votre site l'utilise bien, car beaucoup de panneaux laissent le choix de la version par site ;
• VPS ou serveur dédié : mettez à jour les paquets PHP du système, redémarrez PHP-FPM et le serveur web, puis vérifiez la version réellement servie ;
• serveur infogéré : demandez à votre prestataire la date d'application du correctif.

Chez Wayhost, l'offre d'hébergement web permet de choisir sa version de PHP depuis le panneau et inclut un pare-feu applicatif web dont les règles sont mises à jour en continu (constaté le 27 octobre 2026 sur la page hébergement web). Sur un VPS ou un serveur dédié, la mise à jour du système reste à votre charge ; notre guide VPS, c'est quoi ? détaille ce partage des responsabilités.

Et si votre version de PHP n'est plus maintenue ?

Si votre site tourne en PHP 8.1 ou plus ancien, aucune version officielle corrigée n'existe : il faut migrer vers une branche maintenue (php.net).

Pour préparer la migration :

• listez ce qui dépend de PHP : CMS, thème, extensions, développements spécifiques ;
• vérifiez la compatibilité de chacun avec PHP 8.3 ou 8.4 auprès de leurs éditeurs ;
• testez sur une copie du site avant de basculer ;
• prévoyez 8.3 ou plus récent : la branche 8.2 arrive en fin de vie le 31 décembre 2026 (php.net).

Comment ne plus être pris de court à la prochaine faille ?

En restant sur une branche maintenue, en appliquant les mises à jour mineures dès leur sortie et en suivant les alertes officielles.

Les bonnes habitudes :

• abonnez-vous aux alertes du CERT-FR et aux annonces de php.net ;
• automatisez les mises à jour mineures de PHP sur vos serveurs quand c'est possible ;
• gardez des sauvegardes testées, pour pouvoir restaurer un site sain rapidement ;
• tenez un inventaire des sites et serveurs avec leur version de PHP.

Questions fréquentes

Quelle est la faille PHP d'octobre 2026 ?

Il s'agit de deux failles critiques, CVE-2026-109618 et CVE-2026-109619, corrigées par le projet PHP le 21 octobre 2026. Elles permettent d'exécuter du code à distance sans authentification. Le CERT-FR constate des tentatives d'exploitation.

Mon site WordPress est-il concerné ?

Oui, si son serveur utilise une version de PHP antérieure aux versions corrigées. WordPress fonctionne avec PHP, donc la faille touche le serveur qui l'héberge, pas WordPress lui-même. Vérifiez votre version dans « Santé du site ».

Quelles versions de PHP faut-il installer ?

Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ou plus récentes, corrigent les deux failles critiques. Les branches 8.1 et antérieures ne reçoivent plus de version officielle. Il faut alors migrer vers une branche maintenue.

Mon hébergeur fait-il la mise à jour de PHP ?

Sur un hébergement mutualisé, oui, l'hébergeur installe les versions corrigées. Vérifiez quand même que votre site utilise bien la nouvelle version. Sur un VPS ou un serveur dédié non infogéré, la mise à jour est à votre charge.

Peut-on se protéger sans mettre à jour PHP ?

Le CERT-FR cite des mesures provisoires, comme désactiver l'option upload progress ou filtrer certaines requêtes avec un pare-feu applicatif. Il précise ne pas les avoir qualifiées. Elles réduisent le risque mais ne remplacent pas la mise à jour.

Comment savoir si mon site a été piraté ?

Cherchez des fichiers PHP récents que vous n'avez pas créés, des comptes administrateurs inconnus et des redirections étranges. Consultez aussi les alertes de sécurité de la Search Console. En cas de doute, restaurez une sauvegarde saine et changez tous les mots de passe.

Ce qu'il faut retenir

• Deux failles critiques de PHP permettent une prise de contrôle à distance et sont activement visées.
• Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ou plus récentes les corrigent.
• PHP 8.1 et antérieur ne sont plus corrigés : il faut migrer.
• Sur un mutualisé, l'hébergeur met à jour ; sur un VPS, c'est à vous.
• Les mesures provisoires du CERT-FR aident, mais ne remplacent pas la mise à jour.

Pour un site dont la version de PHP se choisit en un clic et qui est protégé par un pare-feu applicatif, découvrez l'hébergement web Wayhost.

Article rédigé par Mouhamed BANKOLE, CEO chez ITNET Technologies.