Le 20 octobre, l’équipe PHP a annoncé deux vulnérabilités critiques, référencées CVE-2026-109618 et CVE-2026-109619. Nous avons appliqué les correctifs sur l’ensemble de notre infrastructure dès leur publication.
Elles pourraient permettre à un attaquant d’exécuter du code à distance sur un serveur vulnérable. Les correctifs ont été publiés le 21 octobre à 16h00 (heure de Paris).
Les versions concernées sont :
- toutes les versions de PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x, qui ne sont plus maintenues par l’éditeur ;
- PHP 8.2 antérieur à 8.2.35 ;
- PHP 8.3 antérieur à 8.3.36 ;
- PHP 8.4 antérieur à 8.4.27 ;
- PHP 8.5 antérieur à 8.5.12.
Ce que nous avons fait
Dès la publication des correctifs, nous avons mis à jour :
- notre plateforme d’hébergement mutualisé ;
- les serveurs dédiés en infogérance ;
- notre infrastructure interne.
Si vous êtes hébergé chez nous dans l’une de ces configurations, aucune action n’est nécessaire de votre part.
Ce que vous devez vérifier
- Votre site utilise une version de PHP ancienne (8.1 ou antérieure) ? Ces versions ne reçoivent plus de correctifs et restent exposées. Nous vous recommandons de migrer vers une version maintenue. Notre équipe peut vous accompagner : contactez-nous.
- Sur une offre d'hébergement mutualisé de type WEBPACK-n, votre site utilise forcément une version PHP >= 8.1, donc mise à jour.
- Vous gérez vous-même un serveur ou une application PHP hors de notre périmètre ? Appliquez sans attendre les versions corrigées (8.2.35, 8.3.36, 8.4.27 ou 8.5.12). En attendant, le CERT-FR propose des mesures provisoires, non qualifiées par ses soins : désactiver session.upload_progress.enabled dans php.ini, et bloquer ou superviser les requêtes HTTP de type multipart au niveau d’un pare-feu applicatif. La première mesure ne couvre qu’une des deux failles.
Pour toute question
Notre équipe reste joignable par téléphone et par e-mail pour répondre à vos interrogations et vous accompagner.