Arnaques & cyberN° 2 · 21 octobre 2026
PHP en alerte rouge : deux failles critiques à corriger d'urgence
Imagine que ton blog préféré ou ta boutique en ligne préférée ait une porte déverrouillée : des pirates pourraient s’y faufiler. C’est exactement ce qui arrive à des millions de sites web ce mercredi.
Ce mercredi à 16 heures, tous les sites qui utilisent PHP – et il y en a des millions, comme WordPress ou les boutiques en ligne – doivent installer une très importante. Pourquoi ? Parce que deux gros bugs ont été découverts : ils permettent à des pirates de prendre le contrôle du site à distance, comme si quelqu’un pouvait entrer chez toi sans clé et faire ce qu’il veut.
Le problème, c’est que plus d’un site sur trois utilise encore une vieille version de PHP, comme si tu gardais une vieille serrure rouillée alors qu’on t’offre une neuve. Les experts pensent que les pirates vont attaquer très vite, dès que les détails des bugs seront connus. Si tu as un site ou un blog, demande à ton hébergeur s’il va faire la mise à jour. Sinon, c’est comme laisser ta porte grande ouverte.
faille de sécurité
Un point faible dans un logiciel qui peut permettre à un pirate d'entrer.
mise à jour
Une nouvelle version d'une application qui corrige des problèmes ou ajoute des choses.
serveur
Un ordinateur qui reste allumé en permanence pour fournir un service, comme un site web ou un jeu en ligne.
protocole
Les règles que deux machines suivent pour se comprendre quand elles communiquent.
En clair : Les règles de politesse au téléphone, on dit allô, on se présente, on raccroche.
cyberattaque
Une attaque menée à travers Internet contre des ordinateurs, pour voler, bloquer ou abîmer quelque chose.
PHP, le langage derrière 70 % des sites web, corrige ce mercredi deux failles critiques qui pourraient permettre des attaques massives. Tous les administrateurs doivent se préparer.
Ce mercredi 21 octobre à 16 heures, PHP publie des correctifs pour deux critiques, notées 9,2 sur 10. Ces vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, permettraient une exécution de code à distance (RCE) : un attaquant pourrait lancer des commandes sur le visé, comme s’il en prenait le contrôle.
PHP est utilisé par près de 70 % des sites web, dont WordPress, Drupal ou Magento. Pourtant, plus d’un tiers de ces sites tournent encore sur des versions obsolètes (PHP 5 ou 7), non maintenues. Les chercheurs s’attendent à des attaques massives dès la divulgation des détails techniques.
Si tu gères un site ou un serveur, vérifie ta version de PHP avec la commande php -v et prévois une fenêtre de maintenance pour appliquer les correctifs dès leur publication. Sur un hébergement mutualisé, contacte ton hébergeur pour savoir quand il mettra à jour. Les versions corrigées seront annoncées sur php.net à 16 heures.
En cas de doute, parle-en à ton professeur ou à un adulte de confiance : une faille non corrigée, c’est comme une porte ouverte aux pirates.
faille de sécurité
Une vulnérabilité dans un logiciel ou un matériel qu'un attaquant peut exploiter. Les mises à jour servent souvent à les corriger.
mise à jour
L'installation d'une nouvelle version d'un logiciel. Elle corrige souvent des failles de sécurité, d'où l'intérêt de ne pas la repousser.
serveur
Un ordinateur, ou un programme, qui répond aux demandes d'autres appareils appelés clients, par exemple en leur envoyant des pages web.
protocole
Un ensemble de règles qui fixe comment des appareils échangent des données, par exemple HTTP pour le Web ou SMTP pour les mails.
En clair : Les règles de politesse au téléphone, on dit allô, on se présente, on raccroche.
cyberattaque
Une action malveillante contre un système informatique, par exemple pour voler des données, rendre un service indisponible ou réclamer une rançon.
PHP corrige ce mercredi deux failles critiques (CVE-2026-109618 et CVE-2026-109619) permettant une exécution de code à distance (RCE). Une mise à jour urgente s’impose pour éviter des attaques massives.
PHP, le langage derrière 69,3 % des sites web, publie ce mercredi 21 octobre à 16 heures des correctifs pour deux critiques, notées 9,2 sur l’échelle CVSS v4.0. Ces failles, référencées CVE-2026-109618 et CVE-2026-109619, permettraient une exécution de code à distance (RCE) : un attaquant pourrait exploiter ces vulnérabilités pour exécuter des commandes arbitraires sur le serveur, compromettant ainsi l’intégrité et la confidentialité des données.
D’après les fuites sur Hacker News, ces failles toucheraient les versions PHP 5, 7 et 8, bien que PHP 6 n’ait jamais été publié en version stable. Les versions maintenues officiellement vont de PHP 8.2 à 8.5, mais 34,7 % des sites utilisent encore des versions obsolètes (PHP 5 ou 7), selon W3Techs. Cette situation expose une large surface d’attaque, d’autant que les détails techniques seront divulgués en même temps que les correctifs.
Les chercheurs de Sansec anticipent des attaques massives dans les minutes suivant la publication des correctifs. Pour se protéger, les administrateurs doivent vérifier leur version de PHP (php -v), identifier les branches concernées et appliquer les dès leur disponibilité. Sur un hébergement mutualisé, la responsabilité incombe à l’hébergeur, mais il est crucial de s’assurer qu’il agira rapidement.
Ces failles illustrent l’importance de la gestion des versions logicielles et des de mise à jour en cybersécurité. Une négligence peut transformer un serveur en cible facile pour des attaques automatisées, exploitant des vulnérabilités connues avant même que les correctifs ne soient appliqués.
faille de sécurité
Défaut de conception ou d'implémentation exploitable pour contourner la sécurité. Une faille dite « zero day » est exploitée avant que l'éditeur ne publie de correctif.
mise à jour
Remplacement de tout ou partie d'un logiciel par une version plus récente. Les correctifs de sécurité doivent être appliqués vite, car leur publication révèle aux attaquants la faille corrigée.
serveur
Programme qui attend des requêtes sur un port et y répond, selon le modèle client-serveur. Par extension, la machine qui l'héberge.
protocole
Spécification du format des messages et de leur enchaînement. Les protocoles sont organisés en couches (application, transport, réseau, liaison), chacune s'appuyant sur celle du dessous.
En clair : Les règles de politesse au téléphone, on dit allô, on se présente, on raccroche.
cyberattaque
Exploitation d'une faille technique ou humaine pour compromettre la confidentialité, l'intégrité ou la disponibilité d'un système.