Failles critiques PHP : ce que les TPE/PME doivent faire avant qu'un site soit mis hors ligne

Deux failles de sécurité critiques, CVE-2026-109618 et CVE-2026-109619, ont été identifiées dans le langage PHP. Elles permettent l'exécution de code à distance sans authentification. Les correctifs sont disponibles depuis le 21 octobre 2026. Pour une TPE ou une PME, la priorité est de vérifier la version de PHP utilisée sur ses serveurs et d'appliquer les mises à jour immédiatement pour éviter la prise de contrôle du site.

Pourquoi ces failles PHP sont urgentes pour votre entreprise

PHP alimente une très large part des sites web dans le monde, notamment via WordPress, Joomla, Drupal et de nombreux CMS et frameworks comme Symfony ou Laravel. Cette omniprésence signifie qu'une vulnérabilité dans le langage touche potentiellement des millions de sites simultanément.

Les deux vulnérabilités récentes, référencées CVE-2026-109618 et CVE-2026-109619, ont obtenu un score de 9,2/10 sur l'échelle CVSS v4.0, ce qui les classe comme critiques. Concrètement, elles permettent à un attaquant d'exécuter du code à distance sur un serveur web PHP sans avoir besoin de s'authentifier. La première faille provient d'un dépassement de mémoire mal traité, tandis que la seconde exploite un état interne qui survit à la libération de sa mémoire.

La situation a été aggravée par la circulation d'un exploit public, surnommé PHP2Shell, avant même que le correctif ne soit largement déployé. Selon un rapport publié le 22 octobre 2026, cet exploit a circulé avant la disponibilité du correctif, exposant ainsi des sites non patchés. Cela signifie que les pirates ont eu une fenêtre de tir pour automatiser les attaques sur les serveurs vulnérables.

Comment vérifier si votre site est vulnérable

Pour un dirigeant de TPE ou PME, la première étape n'est pas technique mais administrative : identifier quels services utilisent PHP. Il s'agit souvent du site vitrine, de la boutique en ligne ou de l'espace client. Une fois le périmètre défini, il faut déterminer la version de PHP installée.

Via votre panneau d'hébergement

La méthode la plus simple consiste à se connecter à l'interface de gestion de votre hébergeur (OVHcloud, Ionos, o2switch, etc.). Cherchez une section nommée « Langages », « Configuration PHP » ou « MultiPHP ». La version active y est affichée clairement. Si vous utilisez une version antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, votre serveur est vulnérable.

Via un fichier phpinfo

Si vous n'avez pas accès au panneau d'administration, créez un fichier nommé info.php à la racine de votre site avec le contenu suivant : <?php phpinfo(); ?>. Accédez à ce fichier via votre navigateur. La page affichée donnera la version exacte de PHP. Supprimez ce fichier immédiatement après vérification pour ne pas exposer d'informations sensibles.

Plan d'action : appliquer les correctifs PHP

Selon plusieurs articles de presse publiés le 22 et 23 octobre 2026, des correctifs officiels ont été publiés pour deux vulnérabilités critiques de PHP, et les autorités recommandent aux entreprises d'installer les mises à jour rapidement.

Les correctifs de sécurité PHP sont publiés sur le dépôt officiel php.net et dans les bulletins de sécurité associés ; la version supportée doit être vérifiée pour savoir si un correctif est disponible. Voici la marche à suivre selon votre configuration :

Hébergement mutualisé : la plupart des hébergeurs proposent un sélecteur de version PHP. Passez à la dernière version stable (8.4 ou 8.5 selon compatibilité). Si votre site casse, contactez le support technique de l'hébergeur avant de revenir en arrière.

Serveur dédié ou VPS : connectez-vous en SSH et mettez à jour le paquet PHP via le gestionnaire de paquets de votre distribution (apt-get upgrade php pour Debian/Ubuntu, yum update php pour CentOS/RHEL). Redémarrez le service web (Apache ou Nginx) après la mise à jour.

Sites WordPress auto-hébergés : WordPress.com a corrigé les failles côté plateforme, mais les sites WordPress auto-hébergés ou gérés par des tiers doivent appliquer leurs propres mises à jour. Selon une analyse publiée le 22 octobre 2026, mettre à jour le cœur de WordPress ne suffit pas si la version PHP du serveur reste ancienne. La mise à jour doit se faire au niveau du serveur, pas seulement du CMS.

Que faire si vous ne pouvez pas mettre à jour immédiatement

Certaines applications legacy ne sont pas compatibles avec les versions récentes de PHP. Dans ce cas, l'ANSSI recommande des mesures de mitigation. Un site non patché peut être mis hors ligne par l'hébergeur, compromis pour du minage ou du spam, ou servir de porte d'entrée à une fuite de données clients.

Isolez le serveur : restreignez l'accès réseau aux seules adresses IP nécessaires (liste blanche). Bloquez l'accès public aux ports non essentiels.

Utilisez un WAF (Web Application Firewall) : des solutions comme Cloudflare ou des plugins de sécurité comme Wordfence peuvent filtrer les requêtes malveillantes connues associées à l'exploit PHP2Shell.

Surveillez les logs : cherchez des tentatives d'exécution de commandes suspectes dans les logs d'accès du serveur web.

Analyse : pourquoi la maintenance technique est vitale pour les TPE

Cette alerte rappelle une réalité souvent ignorée par les TPE : un site web n'est pas un produit fini, c'est un service vivant. Laisser un site sur une version obsolète de PHP revient à laisser les clés de l'entreprise sous le paillasson. Les correctifs existent, ils sont gratuits et leur application prend quelques minutes. Le coût d'une intrusion, en revanche, se mesure en jours d'indisponibilité, en perte de confiance des clients et parfois en amendes RGPD. Ne attendez pas que votre hébergeur coupe votre site pour agir. Vérifiez vos versions aujourd'hui.