Après la découverte d’une faille dans PHP, une attaque massive pourrait se produire sur le web aujourd’hui

L’équipe de sécurité de PHP publie ce mercredi 21 octobre des correctifs pour deux failles critiques notées 9,2 sur 10. La mise à jour de PHP est vivement conseillée.

PHP.net, le site officiel du langage de programmation, vient d’émettre une alerte très sérieuse. Ce mardi 20 octobre, les mainteneurs de PHP ont prévenu que deux très graves failles de sécurité avaient été décelées. Le langage fait tourner WordPress et 69,3 % des sites web dont la technologie côté serveur est connue, selon W3Techs. Heureusement, un correctif arrive.

Les deux brèches obtiennent chacune 9,2 sur 10 selon l’échelle CVSS (Common Vulnerability Scoring System, version 4.0). Ce système permet de qualifier les failles : à partir de 9, on parle de risque critique. Le CVSS n’est certes pas parfait, mais il a le mérite de rendre l’information compréhensible rapidement.

À ce stade, l’équipe de PHP ne dit encore rien de la nature des failles ni des versions touchées. Ces détails sortiront avec la mise à jour, qui est prévue pour ce mercredi 21 octobre, à 16 h (heure de Paris). En revanche, elle se réserve le droit de la publier plus tôt si les détails deviennent publics ou si des attaques sont repérées.

« Nous invitons tous les utilisateurs de PHP à se préparer dès maintenant afin de pouvoir effectuer la mise à jour dès que la version sera disponible », ajoute encore le site. Si vous gérez un site ou une boutique en ligne en PHP, il vous faut donc être en alerte pour vérifier si ces vulnérabilités vous affectent ou non, et le cas échéant faire la mise à jour.

Une fuite a bousculé le calendrier

Le préavis laissé aux sites web est très court, à peine une journée. Selon la société de sécurité watchTowr, les deux failles devaient pourtant rester sous embargo jusqu’au jeudi 22 octobre. L’équipe de PHP n’évoque pas ce changement de calendrier dans son annonce. Mais des informations sur ces failles ont fuité ce mardi 20 octobre sur Hacker News, le forum de l’incubateur Y Combinator, dans un message depuis supprimé.

Benjamin Harris, CEO de watchTowr, a indiqué à BleepingComputer qu’il s’agit de deux failles d’exécution de code à distance, qui permettraient à un attaquant de faire tourner son propre code sur le serveur visé. « Nous pouvons confirmer que ces vulnérabilités sont bien réelles », a-t-il ajouté. Il leur attribue même la note maximale de 10, contre 9,2 pour l’équipe de PHP. watchTowr dit avoir déjà reproduit l’une des deux failles, mais n’avoir observé aucune exploitation par des pirates à ce stade.

Selon Benjamin Harris, toutes les versions de PHP seraient concernées depuis la version 5, sortie en juillet 2004. Les versions majeures suivantes datent de 2015 (PHP 7) et 2020 (PHP 8). La plus récente mise à jour date de novembre 2025 (PHP 8.5), et la suivante est attendue en novembre 2026 (PHP 8.6). Ces anciennes versions restent très répandues : d’après W3Techs, 27 % des sites en PHP tournent encore sur PHP 7 et 7,7 % sur PHP 5.

Les identifiants publics des deux failles sont CVE-2026-109618 et CVE-2026-109619.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !