Deux vulnérabilités critiques affectant PHP, l’un des langages les plus utilisés pour créer des sites et des applications web, pourraient permettre à des cybercriminels d’exécuter du code à distance sur des serveurs, sans authentification. Le 21 octobre 2026, l’ANSSI, via le CERT-FR, a publié une alerte à ce sujet, et ces failles, identifiées avec l’aide de l’IA, déclenchent une alerte à l’échelle européenne.
Au niveau européen, l’ENISA, la Commission européenne, Europol et le CERT-EU appellent les organisations à agir sans attendre. Des correctifs sont désormais disponibles, à l’exception des branches 8.1 et antérieures, qui ne sont plus prises en charge et dont la seule option est de migrer vers une version plus récente. Selon la source, la menace ne disparaît pas pour autant avec la publication de ces correctifs.
Par précaution, certains sites exposés ont été temporairement mis hors ligne, le temps d’évaluer les risques et de sécuriser leurs infrastructures. Plusieurs services publics, notamment des sites de préfectures, auraient suspendu leur accès en ligne afin de limiter les risques d’exploitation. Ces interruptions illustrent la difficulté, pour les organisations, de concilier la continuité des services et l’urgence de protéger leurs systèmes.
Une exécution de code à distance sans authentification
Référencées CVE-2026-109618 et CVE-2026-109619, les deux vulnérabilités sont classées au niveau critique, avec un score CVSS de 9,2. Leur exploitation pourrait permettre à un attaquant d’exécuter du code arbitraire sur un serveur vulnérable, sans disposer au préalable d’identifiants de connexion. Une telle compromission peut ouvrir la voie à une prise de contrôle du système, à l’installation de logiciels malveillants ou à des rebonds vers d’autres ressources du réseau.
Le périmètre concerné est large. Selon le CERT-FR, les vulnérabilités touchent les branches PHP en versions 5 à 8.1, ainsi que certaines versions antérieures aux correctifs des branches 8.2 à 8.5. Les installations anciennes, qui ne bénéficient plus du support officiel, constituent un point de vigilance particulier, car elles ne reçoivent pas nécessairement de mises à jour de sécurité.
L’enjeu ne se limite pas aux sites dont le code repose directement sur PHP. Des produits commerciaux et open source peuvent intégrer ce langage, sans que les équipes informatiques en aient toujours une visibilité complète.
L’IA accélère le rythme de la cybersécurité
La découverte de ces vulnérabilités avec l’aide de l’IA illustre une évolution importante du secteur. Ces outils peuvent assister les chercheurs dans l’analyse du code, repérer des comportements anormaux et accélérer l’identification de défauts difficiles à détecter à la main. Cette capacité peut renforcer la sécurité, mais elle peut aussi profiter aux acteurs malveillants.
Le défi ne consiste donc plus seulement à identifier les failles, mais à suivre leur rythme d’apparition et de divulgation. Lorsqu’une vulnérabilité critique devient publique, les équipes de sécurité doivent rapidement déterminer quels systèmes sont exposés, évaluer le risque et déployer les correctifs. Dans les grandes organisations, ces opérations peuvent concerner des centaines de serveurs, des applications anciennes et plusieurs prestataires. Les entreprises qui ne disposent pas d’un inventaire fiable de leurs actifs, ou d’une gestion rigoureuse des mises à jour, sont particulièrement exposées.
Versions corrigées et recommandations
Le CERT-FR recommande d’identifier les équipements concernés, d’isoler les systèmes vulnérables si nécessaire et de migrer vers des versions maintenues intégrant les correctifs. Les versions corrigées annoncées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Si une mise à jour immédiate est impossible, des mesures temporaires peuvent réduire une partie du risque, sans remplacer l’application des correctifs. Il s’agit notamment de désactiver session.upload_progress.enabled et de bloquer les requêtes dont le Content-Type est multipart.
Pour les directions informatiques, il faut vérifier les environnements de production, les conteneurs, les dépendances logicielles et les installations gérées par des hébergeurs. L’alerte rappelle qu’à mesure que l’IA accélère la découverte des vulnérabilités, la capacité à maintenir les systèmes à jour devient un facteur déterminant de résilience.
Product offers are temporarily unavailable.
