Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a actualisé le 26 octobre 2026 son alerte sur deux vulnérabilités critiques du langage PHP. Il indique désormais avoir constaté des tentatives d’exploitation visant des déploiements spécifiques. Cette observation renforce l’urgence des mises à jour pour les responsables de sites et de services en ligne.
Dans son bulletin CERTFR-2026-ALE-014, l’agence identifie les vulnérabilités CVE-2026-109618 et CVE-2026-109619, susceptibles de permettre l’exécution de code à distance. La mention de tentatives d’exploitation ne constitue pas, à elle seule, un bilan de compromissions réussies : le CERT-FR ne publie dans cette mise à jour ni nombre de victimes ni estimation de l’ampleur des attaques.
Des correctifs disponibles depuis le 21 octobre
L’équipe de développement de PHP a publié le 21 octobre les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Son avis de sécurité précise que les installations traitant des requêtes web sont concernées, notamment celles fonctionnant avec Apache et mod_php, PHP-FPM ou php-cgi. Le risque est jugé particulièrement élevé dans certaines configurations utilisant mod_php.
Le périmètre dépasse les sites vitrines : PHP sert aussi à faire fonctionner des portails administratifs, des applications métier, des plateformes commerciales et des services numériques. Le fait qu’un site utilise un logiciel de gestion de contenu reposant sur PHP ne suffit toutefois pas à établir qu’il est vulnérable : l’exposition dépend notamment de la version du moteur et de son déploiement.
Pour les branches PHP 5.x, 7.x, 8.0 et 8.1, qui ne sont plus maintenues directement par le projet, le CERT-FR préconise une migration vers une version prise en charge et corrigée. Des fournisseurs de distributions peuvent proposer des correctifs rétroportés ; leur disponibilité doit être vérifiée auprès de chaque éditeur.
La priorité va à l’inventaire des serveurs exposés
Pour les équipes de sécurité, la première opération consiste à identifier les versions de PHP réellement exécutées sur les serveurs, puis à vérifier les mises à jour fournies par le projet ou par les mainteneurs des systèmes. La publication d’un correctif ne garantit pas son installation sur les machines en production.
Le CERT-FR décrit également des mesures de réduction de l’exposition, dont certaines restrictions sur les requêtes HTTP et la désactivation de la fonction de suivi des téléversements de session. L’agence précise que ces contournements ne sont pas qualifiés par ses soins. Ils ne remplacent pas les correctifs et peuvent affecter le fonctionnement des applications.
La société spécialisée Censys documente, de son côté, des observations divergentes sur l’étendue des attaques et confirme la disponibilité des versions corrigées. Cette incertitude sur la diffusion des exploitations ne modifie pas la recommandation opérationnelle : traiter prioritairement les installations exposées et vérifier, si nécessaire, les traces d’activité suspecte.
La mise à jour du CERT-FR évoque par ailleurs une troisième vulnérabilité, CVE-2026-115560, signalée le 23 octobre par PHP. Pour celle-ci, l’éditeur annonce un correctif lors d’un prochain cycle de publication et décrit des conditions d’exploitation particulières. Les administrateurs doivent donc distinguer les deux failles déjà corrigées de cette question encore en attente de mise à jour.
