En bref
- Le projet PHP prévoit une publication de sécurité le 21 octobre 2026 à 14 h UTC pour deux vulnérabilités critiques, chacune notée 9,2 sur 10.
- Des chercheurs décrivent deux failles permettant d’exécuter du code à distance, mais PHP n’a confirmé ni ce mécanisme ni les versions concernées.
- Aucune exploitation active n’a été observée dans les éléments disponibles, malgré la circulation anticipée d’informations et d’une brève vidéo retirée.
Une publication de sécurité avancée
L’équipe de sécurité de PHP a annoncé une publication pour le mercredi 21 octobre 2026 à 14 h UTC. Elle doit corriger deux vulnérabilités jugées critiques, chacune notée 9,2 sur 10 selon la quatrième version du système CVSS. Cette échelle sert à évaluer la gravité technique d’une faille informatique. L’équipe demande aux utilisateurs de se préparer afin d’installer les mises à jour dès leur disponibilité. Elle se réserve aussi la possibilité de les publier plus tôt si la situation évolue.
Cette annonce intervient après la circulation anticipée d’informations normalement protégées jusqu’à une divulgation coordonnée. Le 20 octobre, un message paru sur Hacker News a évoqué deux failles critiques avant d’être supprimé. Huntress rapporte que des captures du message ont ensuite circulé sur les réseaux sociaux. Les équipes de recherche de watchTowr ont confirmé l’existence des vulnérabilités, selon Huntress et BleepingComputer. PHP a publié son avertissement officiel peu après ces premiers signalements.
Pourquoi l’alerte dépasse une seule application
PHP est un langage de programmation principalement utilisé pour produire des sites et des services web. Il fonctionne derrière des systèmes de gestion de contenu, des boutiques en ligne, des hébergements mutualisés et des outils d’administration. WordPress, Drupal, Joomla et Magento figurent parmi les environnements cités par Huntress. Une faille dans PHP lui-même peut donc concerner plusieurs familles de logiciels, sans se limiter à une application précise. Certaines installations sont aussi intégrées à des produits qui n’affichent pas clairement leur dépendance à PHP.
Les chercheurs de watchTowr décrivent les deux problèmes comme des possibilités d’exécution de code à distance. Ce mécanisme permettrait à un attaquant de faire lancer ses propres commandes par un serveur vulnérable, sans accès physique. Cette conséquence serait plus large qu’un simple dysfonctionnement du site. Elle pourrait donner un contrôle sur le serveur selon les droits accordés au processus PHP. Toutefois, PHP n’a pas encore publié la cause technique ni confirmé publiquement cette description du mécanisme.
Des failles confirmées, un périmètre encore inconnu
Les deux vulnérabilités portent les identifiants CVE-2026-109618 et CVE-2026-109619 dans les publications de chercheurs et de presse. Un identifiant CVE sert à nommer publiquement une vulnérabilité de manière unique. L’avis officiel de PHP ne donne encore ni ces références, ni les versions touchées. Il ne précise pas davantage si une simple requête web suffit ou si une configuration particulière est nécessaire. Les composants précis dans lesquels se trouvent les erreurs restent également inconnus.
watchTowr estime que les branches 5, 6, 7 et 8 de PHP seraient concernées, d’après BleepingComputer. Sansec avance un périmètre commençant à la version 5.4.0, sur la base de la bannière d’un outil apparu dans une capture. Ces affirmations ne remplacent pas la liste officielle attendue avec les correctifs. Elles diffèrent aussi de la note officielle de 9,2, puisque watchTowr et le message supprimé évoquaient 10 sur 10. Cette divergence porte sur l’évaluation annoncée, pas sur le caractère critique reconnu par tous les acteurs cités.
La fuite raccourcit le temps de préparation
Selon watchTowr, la divulgation devait initialement attendre le jeudi suivant, à 11 heures sur la côte est américaine. Huntress indique que PHP a fixé sa publication au mercredi, soit un jour avant cet embargo rapporté par les chercheurs. L’avis officiel ne relie pourtant pas explicitement ce choix à la fuite. Il précise seulement que les correctifs pourraient paraître plus tôt si des détails deviennent publics ou si des attaques sont constatées. La chronologie suggère donc une réaction accélérée, sans permettre d’en établir officiellement la raison.
Les informations disponibles ne montrent pas d’exploitation active. watchTowr a déclaré à BleepingComputer avoir probablement reproduit CVE-2026-109618, sans publier de détails avant les correctifs. Huntress dit ne pas avoir produit de démonstration fonctionnelle et ne connaître aucun code d’attaque public au moment de son article. Une courte vidéo d’exploitation aurait été mise en ligne puis retirée, toujours selon Huntress. Aucun indicateur de compromission, c’est-à-dire aucune trace confirmée permettant de reconnaître une attaque, n’a encore été publié.
Se préparer sans devancer les faits
Avant la publication, la mesure centrale consiste à repérer les installations de PHP et à préparer leur mise à jour. Huntress recommande de vérifier les serveurs web, mais aussi les logiciels Windows, équipements fournisseurs et panneaux d’administration qui intègrent PHP discrètement. Les systèmes accessibles depuis Internet doivent passer en premier. Sansec conseille aux clients ne gérant pas leur serveur de demander à leur hébergeur de se tenir prêt. Les numéros exacts des versions corrigées devront être vérifiés lors de la publication officielle.
Huntress propose aussi de surveiller les programmes lancés par les processus PHP, notamment des interpréteurs de commandes ou des outils de téléchargement inhabituels. Un processus est une instance active d’un programme. Ces signes ne prouvent pas l’exploitation des nouvelles failles, car Huntress les rencontre déjà dans d’autres intrusions visant PHP. Si une activité suspecte apparaît, l’entreprise recommande d’isoler le serveur et de conserver les journaux de PHP et du serveur web. La publication officielle devra préciser le mécanisme réel et les éventuelles traces fiables d’attaque.
Ce qui reste à confirmer
PHP n’a pas encore publié la cause technique, les versions affectées, les versions corrigées ni les conditions d’exploitation. L’exécution de code à distance, le périmètre remontant à PHP 5 et les notes de 10 sur 10 proviennent de chercheurs ou d’un message supprimé, pas de l’avis officiel. Aucun cas d’exploitation active ni indicateur de compromission confirmé n’apparaît dans les sources fournies.