[Mise à jours du 21 octobre 2026]
Les correctifs de sécurité sont disponibles sur le site de l'éditeur. PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
Le 20 octobre 2026, l’éditeur PHP a publié une communication concernant deux vulnérabilités critiques (PHP est un système très largement utilisé sur les sites web). En fonction de l’exposition sur internet des serveurs PHP ainsi que de leur niveau de privilège, les impacts peuvent inclure : possibilité de dénis de service, exfiltration de donnée, prise de contrôle du système d’information et interruption d’activité, etc.
Les vulnérabilités sont particulièrement critiques pour les sites transactionnels, manipulant des données sensibles ou ayant des connexions vers des systèmes internes.
Le CERT-FR a publié une alerte de sécurité et recommandé, lorsque cela est possible, la mise hors ligne des serveurs concernés jusqu’à application de la mise à jour intégrant les correctifs de sécurité disponible sur le site de l’éditeur.
Les informations actualisées sur les vulnérabilités, les versions affectées et les recommandations à appliquer sont à consulter dans l’alerte du CERT-FR : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/.
À noter que plusieurs CERT nationaux européens ont également partagé et relayé l’alerte de cybersécurité concernant ces vulnérabilités. Ces alertes peuvent être consultées ici : https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md