PHP : faille d'exécution de code exploitée, corrigée en 8.2.35, 8.3.36, 8.4.27 et 8.5.12

En bref

• Produit : PHP (PHP Group), le langage qui fait tourner la plupart des CMS et frameworks web.
• Versions affectées : de 5.4.0 à 8.2.35 exclue, de 8.3.0 à 8.3.36 exclue, de 8.4.0 à 8.4.27 exclue, de 8.5.0 à 8.5.12 exclue.
• Version corrigée : 8.2.35, 8.3.36, 8.4.27 et 8.5.12, selon la branche utilisée.
• Sévérité : élevée, score CVSS 8,1 (NVD) ; la faille permet une exécution de code à distance sans authentification.
• CVE : CVE-2026-109619.
• Exploitation active : oui, la faille figure au catalogue KEV de la CISA.
• Date de l'avis : 21 octobre 2026 (NVD) ; ajout au catalogue KEV le 26 octobre 2026.

La CISA, l'agence américaine de cybersécurité, a inscrit le 26 octobre 2026 la vulnérabilité CVE-2026-109619 dans son catalogue des vulnérabilités connues comme exploitées (KEV). Elle la décrit comme un défaut de gestion d'un état interne de requête resté « périmé » dans PHP, qui permet à un attaquant non authentifié d'exécuter du code à distance sur le serveur.

L'inscription au catalogue KEV signifie que des exploitations réelles ont été observées : il ne s'agit pas d'un risque théorique. La CISA a fixé aux administrations fédérales américaines une échéance de correction au 29 octobre 2026, un délai très court qui traduit le niveau d'urgence. Le recours à cette faille dans des campagnes de rançongiciel n'est, à ce stade, pas établi.

Les sources disponibles ne détaillent ni les branches de PHP concernées, ni la version qui corrige le problème, ni de score CVSS. Ces informations doivent venir de l'avis officiel du PHP Group ; nous mettrons cette alerte à jour lorsqu'elles seront publiées.

Qui est concerné ?

Potentiellement tout serveur qui exécute PHP et qui est exposé à Internet. Cela inclut les sites WordPress, WooCommerce, PrestaShop, ainsi que les applications Symfony, Sylius ou Laravel, puisque ces outils reposent tous sur l'interpréteur PHP. La faille se situant dans PHP lui-même et non dans une extension ou un thème, la mise à jour d'un CMS ne suffit pas à s'en protéger : c'est la version de PHP installée sur le serveur ou fournie par l'hébergeur qui compte.

Faute de liste officielle des versions affectées, il faut considérer par prudence que toutes les installations sont concernées tant que l'éditeur n'a pas précisé le périmètre. Les agences et freelances qui gèrent un parc de sites ont intérêt à recenser dès maintenant les versions de PHP utilisées par chaque site et chaque hébergement.

Que faire ?

• Surveiller l'avis de sécurité du PHP Group et mettre à jour PHP vers la version corrigée dès qu'elle est disponible, ou demander à votre hébergeur de le faire.
• Appliquer, en attendant, les mesures d'atténuation recommandées par l'éditeur, comme le préconise la CISA ; si aucune n'est disponible, envisager de limiter l'exposition des services concernés.
• Vérifier les journaux du serveur web et de PHP à la recherche d'activité inhabituelle : fichiers récemment créés ou modifiés, processus inconnus, comptes administrateurs ajoutés.
• En cas de compromission avérée ou suspectée, isoler le site, restaurer une sauvegarde saine antérieure à l'incident, puis changer l'ensemble des mots de passe et clés d'accès.

Mise à jour du 29 octobre 2026

Les informations manquantes sont désormais publiées. La fiche NVD, datée du 21 octobre 2026, attribue un score CVSS de 8,1 et précise le périmètre : toutes les versions de PHP depuis la 5.4.0 sont affectées, jusqu'aux versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. L'avis du PHP Group est référencé dans les sources ci-dessous.

Il ne faut donc plus attendre : la première action consiste à passer chaque serveur sur la version corrigée de sa branche. Une branche qui ne reçoit aucune de ces versions doit être remplacée par une branche maintenue. L'exploitation active reste confirmée par la CISA, dont l'échéance de correction tombe ce jour.

Sources

• PHP Group, avis de sécurité GHSA-6wmf-4rv5-p3rp (avis officiel de l'éditeur).
• NVD : CVE-2026-109619 (publié le 21 octobre 2026).
• CISA, catalogue Known Exploited Vulnerabilities : CVE-2026-109619 (ajout du 26 octobre 2026).