PHP publie des correctifs d’urgence : ce que votre hébergeur doit confirmer

PHP a publié le 21 octobre des mises à jour d’urgence pour deux failles critiques susceptibles, selon le projet, de permettre une exécution de code à distance sans authentification. Pour un propriétaire de site, la question immédiate est de savoir si l’environnement PHP qui sert ses pages a reçu les correctifs.

Les versions corrigées du projet sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Leur disponibilité ne prouve pas leur installation chez l’hébergeur. Même un site WordPress infogéré peut dépendre d’une intervention sur le serveur, inaccessible depuis son tableau de bord.

La correction relève de l’hébergement

Les avis de sécurité de PHP identifient CVE-2026-109618 et CVE-2026-109619. Le projet considère comme exposées les installations qui traitent des requêtes web et indique que la mise à jour est la seule solution complète. L’avis préalable attribuait à chaque faille un score de 9,2 selon CVSS v4.0.

Le problème concerne PHP, et pas uniquement un CMS ou une extension. Mettre à jour WordPress, un thème ou une extension de sauvegarde ne démontre donc pas que l’environnement sous-jacent est corrigé. L’avis n’établit pas non plus que tous les sites exposés ont été compromis.

Demandez à l’hébergeur quelle compilation de PHP traite les requêtes du site et si elle corrige les deux identifiants. L’annonce d’une maintenance future ne vaut pas confirmation que le service en cours d’exécution est déjà protégé.

Le numéro de version ne suffit pas toujours

Les versions du projet constituent un premier repère. Certaines distributions et certains fournisseurs de support prolongé intègrent les correctifs à des paquets plus anciens sans adopter le numéro de version correspondant. Demandez alors l’avis du fournisseur ou la référence du paquet confirmant les deux corrections.

PHP 8.1 et les branches antérieures ne bénéficient plus du support de sécurité ordinaire du projet. Les rétroportages exceptionnels du code source ne rétablissent pas ce support. Leurs utilisateurs doivent clarifier le correctif disponible et préparer une migration.

Dans WordPress, la version déclarée figure dans Outils → Santé du site → Informations → Serveur. Cette indication sert de point de départ à la discussion avec l’hébergeur, notamment en présence de correctifs rétroportés.

Confirmer l’intervention, puis contrôler le site

La confirmation doit porter sur le PHP qui sert effectivement les pages, pas seulement sur une installation en ligne de commande distincte ou un paquet téléchargé. Après la maintenance, vérifiez des pages représentatives, la connexion et la publication. Le guide des mises à jour et du retour arrière détaille la préparation de la restauration.

PHP prévient que les mesures partielles ne sécurisent pas complètement une installation. Une règle WAF ou un réglage ne doit pas être présenté comme l’équivalent du correctif. Enfin, installer la mise à jour ne permet pas de conclure à l’absence d’intrusion antérieure : des signes suspects nécessitent une investigation distincte.