# PHP corrige deux failles critiques exploitables à distance

> PHP corrige deux vulnérabilités critiques permettant une exécution de code à distance sans authentification, avec des mises à jour urgentes publiées le 21 octobre.

Type : Actualité IA · Catégorie : Secteur · Publié le 2026-10-22 · Signal IA - Order & Chaos · Secteur : Cybersécurité
Source : https://www.orderchaos.eu/signal-ia/actu/php-corrige-deux-failles-critiques-mise-a-jour-urgente
Tags : php, cybersécurité, vulnérabilités, correctifs

---

## En résumé

- PHP a corrigé deux vulnérabilités critiques permettant une exécution de code à distance sans authentification.
- La NSA et le FBI recommandent de mettre à jour immédiatement les installations PHP concernées.
- Cloudflare a observé des millions de tentatives d’exploitation après l’annonce publique des failles.

**Le signal :** PHP a publié les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 pour corriger deux failles RCE notées 9,2 sur 10.

**Correctifs publiés le 21 octobre** PHP a publié des mises à jour de sécurité pour deux [vulnérabilités](/signal-ia/actu/gold-eagle-centralise-les-failles-et-inquiete-les-experts) critiques permettant une exécution de code à distance sans authentification. Les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 corrigent ces failles. La PHP Foundation les associe aux références CVE-2026-109618 et CVE-2026-109619. Les deux vulnérabilités ont reçu un score CVSSv4 de 9,2 sur 10. Le projet PHP recommande à tous les utilisateurs de mettre à jour immédiatement leurs installations. Les failles concernent les installations qui servent des requêtes web. Les équipes techniques doivent donc vérifier les versions actives sur leurs serveurs et leurs environnements d’hébergement. [Consulter les correctifs PHP](https://www.php.net/).

**Une alerte relayée mondialement** La NSA recommande aux organisations utilisant PHP de préparer la mise à jour de leurs systèmes. Le FBI demande aussi de mettre à jour les installations affectées, conformément aux indications publiées par PHP. Selon le FBI, les vulnérabilités peuvent permettre à des acteurs malveillants d’exécuter du code dans le cœur de PHP. L’agence conseille de surveiller les serveurs web, notamment les processus PHP qui lanceraient des interpréteurs de commandes ou téléchargeraient des fichiers. Si une mise à jour immédiate est impossible, la NSA et le FBI recommandent de mettre le système hors ligne jusqu’à la mise en place d’une protection complète.

## Cloudflare observe des attaques croissantes

**Les tentatives se multiplient** Matthew Prince, dirigeant de [Cloudflare](/signal-ia/actu/cloudflare-transforme-les-failles-en-defense-avec-openai), a déclaré que le réseau avait observé des milliers de tentatives d’exploitation durant les dix heures précédant l’annonce publique. Ce volume est passé à des dizaines de milliers dans les 45 minutes suivant l’annonce. Il a ensuite atteint des centaines de milliers après deux heures, puis des millions. Cloudflare a indiqué que ses règles de protection étaient actives à 03:02 UTC, environ neuf heures avant la divulgation. L’entreprise a aussi signalé que des attaquants modifiaient leurs charges utiles. De nouvelles règles étaient ajoutées pour répondre aux différentes variantes observées par ses équipes.

**Les services adaptent leurs déploiements** Laravel Cloud a temporairement suspendu ses déploiements pendant la préparation d’instances PHP corrigées. Les images PHP 8.2 et suivantes de Vapor étaient en cours de construction pour permettre un déploiement automatisé. Envoyer a également été temporairement mis hors ligne pour recevoir les [correctifs](/signal-ia/actu/automox-presente-un-nouveau-modele-pour-corriger-les-terminaux). WordPress a demandé aux propriétaires de sites et aux équipes techniques de confirmer le plan de mise à jour de leur hébergeur. Le projet a rappelé que les versions antérieures à PHP 8.2 ne recevaient plus de mises à jour de sécurité. [Voir le suivi publié sur Techmeme](https://www.techmeme.com/261022/p8#a261022p8).

**Une exploitation à traiter rapidement** Des chercheurs ont décrit les deux failles comme des corruptions mémoire exploitables à distance dans PHP. Les références CVE-2026-109618 et CVE-2026-109619 ont toutes deux reçu un score CVSSv4 de 9,2. Le FBI demande aux organisations de surveiller leurs serveurs après l’installation des correctifs. Cloudflare a observé une progression rapide des tentatives d’exploitation avant et après l’annonce. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les équipes peuvent donc commencer par inventorier les installations PHP, identifier les versions antérieures, appliquer la version correspondante et examiner les journaux des serveurs pour repérer des comportements inhabituels.