Faille PHP du 21 octobre 2026 : ce que ça change pour votre site
Le 21 octobre 2026, le centre gouvernemental français de cybersécurité a publié une alerte critique concernant PHP, le langage qui fait fonctionner une grande partie des sites web dans le monde. Deux failles permettent à un attaquant d'exécuter du code sur un serveur sans aucun mot de passe. Les correctifs sont sortis le jour même. Ce qui suit explique ce qui s'est passé, qui est concerné, et la seule question qu'un dirigeant doit poser à son prestataire cette semaine.
La note de gravité attribuée aux deux failles par l'équipe PHP elle-même. À titre de comparaison, une faille est considérée comme critique à partir de 9,0.
Ce qui s'est réellement passé
Deux vulnérabilités ont été identifiées dans PHP, référencées CVE-2026-109618 et CVE-2026-109619. Elles ont été regroupées sous le nom de PHP2Shell. Toutes les versions de PHP 5 à PHP 8 sont concernées. Le problème vient de la façon dont PHP gère sa mémoire entre deux requêtes : dans certaines conditions, des données d'une requête précédente restent accessibles, et un attaquant peut s'en servir pour exécuter son propre code.
Ce qui rend cette faille différente des précédentes, c'est le moment de l'attaque. Elle se déclenche avant que le code de l'application ne s'exécute. Autrement dit, mettre WordPress à jour ne suffit pas, installer un plugin de sécurité ne protège pas, et un site dont le thème est parfaitement à jour reste exposé. C'est PHP lui-même qui doit être corrigé sur le serveur.
La part des sites web mondiaux qui utilisent PHP. On le trouve derrière WordPress, Joomla, Drupal, Magento, les plateformes d'hébergement mutualisé et de nombreux logiciels qui ne mentionnent même pas qu'ils reposent dessus.
Qui est concerné, et qui ne l'est pas
Si votre site est hébergé sur une plateforme qui gère elle-même ses mises à jour, il y a de fortes chances que le correctif ait été appliqué dans les heures qui ont suivi. Les grands hébergeurs ont réagi le jour même.
Le problème se pose ailleurs, dans les cas très fréquents où personne ne sait qui entretient le site. Un site vitrine installé il y a quatre ou cinq ans, par un prestataire qui a depuis changé de métier, sur un hébergement mutualisé dont personne ne connaît le panneau d'administration. Ces sites ne seront pas mis à jour, non pas par négligence, mais parce que la question ne s'est jamais posée.
- Sont probablement protégés : les sites sur une plateforme moderne qui applique ses correctifs automatiquement (Shopify, Wix, Squarespace, Vercel).
- Doivent vérifier : tout site en WordPress, Joomla, PrestaShop ou Drupal installé sur un hébergement classique.
- Sont le plus à risque : les sites dont le prestataire a disparu, ou dont personne ne connaît la version.
Les versions corrigées, si vous devez les transmettre
Les correctifs publiés le 21 octobre 2026 sont les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La commande php -v affiche la version installée sur un serveur.
Un point mérite d'être souligné : PHP 8.1 et toutes les versions antérieures ne reçoivent plus de mises à jour de sécurité depuis la fin de leur support. Pour ces installations, il ne s'agit pas d'appliquer un correctif mais de migrer vers une version maintenue. Le centre gouvernemental britannique a recommandé à ce sujet de mettre les systèmes hors ligne tant qu'ils ne peuvent pas être corrigés.
La référence de l'alerte publiée par le CERT, le centre gouvernemental français de veille et de réponse aux attaques informatiques. Elle est publique et consultable par n'importe qui.
Ce que doit faire un dirigeant cette semaine
Vous n'avez pas besoin de comprendre PHP. Vous avez besoin de poser une question, et d'obtenir une réponse datée.
- « Sur quelle version de PHP tourne mon site, et a-t-elle été mise à jour cette semaine ? » Si la réponse est « je ne sais pas », c'est déjà la réponse.
- « Qui s'occupe des mises à jour, et à quelle fréquence ? » Un prestataire sérieux a un nom et un rythme. Un prestataire qui répond « on surveille » n'en a pas.
- « Que se passe-t-il si une faille sort un vendredi soir ? » La question paraît anecdotique. Elle révèle en réalité s'il existe un process ou seulement de la bonne volonté.
Une faille critique n'est pas un accident de parcours, c'est le fonctionnement normal d'un logiciel. Ce qui distingue les entreprises protégées des autres n'est pas la chance, c'est l'existence d'une personne dont le métier est de répondre à cette question.
Sources et références
- CERT — Alerte CERTFR-2026-ALE-014, vulnérabilités critiques PHP
- GitHub Advisory — RCE via OOM corruption (CVE-2026-109618)
- GitHub Advisory — RCE via stale global state (CVE-2026-109619)
- watchTowr — PHP2Shell: PHP Remote Code Execution Exploited
- BFM Tech — Deux failles critiques liées au langage PHP
Comment Karibloom peut vous aider
Nous construisons les sites de nos clients sur une base que nous maîtrisons entièrement — pas de WordPress, pas de thème acheté, pas de plugin installé par-dessus. Le code reste le nôtre, et les mises à jour de sécurité font partie de l'abonnement mensuel, sans facturation supplémentaire.
Quand une faille de cette nature est publiée, nous vérifions notre parc le jour même et nous vous informons du résultat, que vous soyez concerné ou non. Ce n'est pas une option commerciale : c'est la définition même du mot maintenance.
Si vous ne savez pas qui gère votre site, ou si vous voulez simplement savoir s'il est à jour, parlez-nous en. Nous vous répondons avec des faits, pas avec une promesse.