Deux vulnérabilités critiques ont été découvertes dans PHP, le langage qui alimente une grande partie du web, notamment WordPress, Drupal, Joomla ou encore de nombreuses applications professionnelles. Les administrateurs système et propriétaires de sites sont invités à agir rapidement afin de sécuriser leurs infrastructures.
Des failles jugées critiques
Les vulnérabilités, référencées sous les identifiants CVE-2026-109618 et CVE-2026-109619, ont reçu un score de 9,2 sur 10 sur l’échelle CVSS. Selon les informations publiées par l’équipe de sécurité de PHP, elles pourraient permettre l’exécution de code malveillant à distance sur des serveurs vulnérables, ouvrant potentiellement la voie à une prise de contrôle complète du système.
Le risque est particulièrement élevé car des informations techniques auraient circulé avant la publication officielle des correctifs, augmentant la probabilité d’une exploitation rapide par des cybercriminels.
Quelles versions sont corrigées ?
Pour répondre à cette menace, l’équipe PHP a publié plusieurs mises à jour de sécurité :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Les utilisateurs de ces branches doivent mettre à jour leur environnement dès que possible afin de bénéficier des correctifs de sécurité
Les anciennes versions particulièrement exposées
Les versions plus anciennes, particulièrement PHP 7.4, 8.0 et 8.1, ne sont plus maintenues officiellement. Bien que certains fournisseurs et distributions Linux puissent proposer des correctifs spécifiques, ces branches restent plus vulnérables et leur migration vers une version supportée est fortement recommandée.