Le projet PHP a publié le 21 octobre des correctifs pour deux vulnérabilités critiques susceptibles de conduire à une exécution de code à distance. Les avis les identifient comme CVE-2026-109618 et CVE-2026-109619. Les exploitants doivent vérifier chaque runtime PHP concerné et mettre à jour sans attendre leur fenêtre de maintenance habituelle.
Ce que PHP a publié
Les branches maintenues reçoivent des versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les détails techniques figurent dans l’annonce du projet et l’avis CERT-EU. Appliquez la version correspondant à la branche effectivement utilisée par vos applications.
La gravité « critique » ne signifie pas que tous les serveurs sont exposés de la même manière. Le risque dépend des versions, de la configuration et de la manière dont PHP est déployé. L’avis constitue néanmoins une raison suffisante pour prioriser l’inventaire et le correctif.
Cartographier les runtimes avant la mise à jour
Établissez la liste des sites, tâches planifiées, conteneurs, fonctions et environnements de test qui exécutent PHP. Les versions de la CLI et du serveur web peuvent différer. Les images de conteneurs immuables doivent être reconstruites puis redéployées, pas seulement patchées sur un hôte.
Si votre branche est en fin de vie, vérifiez les annonces de votre distribution ou de votre fournisseur. N’installez pas une version de branche différente sans valider la compatibilité de l’application ; privilégiez un correctif de sécurité fourni et maintenu par le fournisseur.
Déployer et confirmer le correctif
Testez les mises à jour sur un environnement représentatif, puis déployez-les en suivant le processus de changement de l’équipe. Redémarrez les processus persistants et les workers afin qu’ils chargent les bibliothèques corrigées. Une mise à jour de paquet sans redémarrage ne garantit pas que le code en mémoire a changé.
Après le déploiement, contrôlez la version depuis le runtime qui sert réellement les requêtes, puis surveillez erreurs applicatives et journaux. Gardez la preuve de la version, de l’image déployée et de la date de redémarrage.
Ce que les avis ne disent pas
La publication de correctifs ne prouve pas à elle seule qu’un serveur a été compromis. Les sources retenues ne confirment pas une campagne d’exploitation généralisée. Les équipes qui détectent une activité anormale doivent mener leur propre investigation et préserver les journaux ; elles ne doivent pas attribuer un incident à ces CVE sans éléments.
Organiser les accès techniques
Lors d’une intervention, les équipes peuvent conserver les identifiants professionnels nécessaires dans un coffre chiffré et les partager selon des règles d’accès. Soclyde aide à organiser des secrets d’équipe ; le service ne corrige pas les vulnérabilités PHP et ne remplace ni les mises à jour ni la supervision.
Découvrez les fonctionnalités Soclyde pour gérer les secrets d’équipe.
À retenir
Installez les versions PHP corrigées adaptées à vos branches, redémarrez tous les processus concernés et vérifiez la version en production applicative. L’avis indique un risque sérieux, pas la preuve d’une compromission. Notre guide de sécurisation des mots de passe complète cette démarche sur la gestion des accès.
