Faille critique PHP du 21 octobre 2026 : ce que doivent faire les entreprises

Ce qui s'est passé

Le 21 octobre 2026, l'équipe PHP a publié en urgence quatre nouvelles versions : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Ces versions corrigent deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619. Leur note de gravité est de 9,2 sur 10 selon le barème CVSS v4.0.

Ces failles peuvent permettre à un attaquant d'exécuter du code sur le serveur, sans avoir besoin de s'identifier. Une personne extérieure pourrait donc agir sur la machine qui héberge le site.

Le même jour, le CERT-FR, le centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, a publié l'alerte CERTFR-2026-ALE-014, intitulée « Multiples vulnérabilités dans PHP ».

Des premières tentatives d'attaque ont été signalées. Cloudflare indique avoir déployé des règles de protection.

Qui est concerné

PHP est très répandu. Selon BFM Tech, il est utilisé par « près de 70 % des sites », notamment les sites WordPress.

D'après l'équipe PHP, toutes les installations qui servent des pages web sont à risque, quelle que soit la façon dont PHP fonctionne sur le serveur : PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ou LiteSpeed.

Votre site est donc probablement concerné s'il repose sur :

• WordPress ou WooCommerce ;
• PrestaShop ou Magento ;
• Drupal ou Joomla ;
• un logiciel métier, un extranet ou un espace client développé en PHP.

Les boutiques hébergées sur une plateforme comme Shopify, elles, ne dépendent pas d'un PHP installé chez vous.

Comment savoir si votre site est à jour

Le plus simple est de poser la question à votre hébergeur ou à votre prestataire : la mise à jour de PHP du 21 octobre est-elle appliquée sur mon site ?

Sur un hébergement mutualisé, c'est l'hébergeur qui met PHP à jour. Vous n'avez rien à installer vous-même, mais il vaut mieux lui demander où il en est.

Vous pouvez aussi vérifier la version de PHP vous-même :

• dans le panneau de votre hébergeur, repérez la version de PHP utilisée par votre site ;
• si vous avez votre propre serveur, la commande php -v affiche la version installée.

La version affichée doit être au moins égale à la version corrigée de sa branche : 8.5.12 pour PHP 8.5, 8.4.27 pour PHP 8.4, 8.3.36 pour PHP 8.3 et 8.2.35 pour PHP 8.2.

Si la version commence par 8.1, 8.0 ou 7, votre site fonctionne sur une version de PHP qui ne reçoit plus de mises à jour officielles.

Ce qu'il faut faire maintenant

D'après l'équipe PHP, la seule vraie solution est la mise à jour. Voici les étapes, dans l'ordre.

• Contactez votre hébergeur ou votre prestataire et demandez si la mise à jour est appliquée.
• Si vous gérez votre serveur vous-même, installez la version corrigée de votre branche de PHP.
• Si votre site tourne encore sous PHP 8.1 ou une version plus ancienne, prévoyez une migration. Ces versions ne reçoivent plus de mises à jour officielles. L'équipe PHP a seulement fourni des correctifs minimaux pour PHP 7.4, 8.0 et 8.1, à destination de ceux qui compilent PHP eux-mêmes.
• Méfiez-vous des « plugins correctifs » et des morceaux de code copiés-collés qui ne viennent pas de sources officielles. Ils ne remplacent pas la mise à jour de PHP.

Si vous ne savez pas qui s'occupe de votre hébergement, ou sur quelle version tourne votre site, nous pouvons faire le point avec vous.

Et après : PHP 8.2 ne sera plus maintenu au 31 décembre 2026

Une autre échéance arrive vite. Selon la page des versions prises en charge de php.net, PHP 8.2 cessera d'être maintenu le 31 décembre 2026.

Après cette date, une faille découverte dans PHP 8.2 ne sera plus corrigée officiellement. Si votre site utilise PHP 8.2, la mise à jour d'octobre règle l'urgence du moment, mais il est temps de préparer le passage à une version plus récente.

Une migration se prépare : il faut vérifier que le site, ses extensions et ses développements sur mesure fonctionnent avec la nouvelle version. Lorsqu'un site est trop ancien pour être migré simplement, une refonte peut être plus raisonnable. Surtech, agence web et applications basée à Clermont-Ferrand, accompagne les entreprises partout en France sur ces sujets : découvrez nos services et notre offre de création de site internet, ou prenez rendez-vous pour en parler.