Deux vulnérabilités critiques ont été découvertes dans PHP, un langage de programmation qu’utilisent de nombreux sites Internet. Le 21 octobre 2026, les responsables du projet ont publié des correctifs d’urgence pour empêcher des pirates informatiques d’exploiter ces failles et de prendre potentiellement le contrôle de serveurs.
Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ces vulnérabilités présentent un niveau de gravité de 9,2 sur 10. Dans certaines configurations, elles peuvent permettre à un attaquant d’exécuter du code à distance, sans avoir besoin de s’authentifier.
PHP est notamment utilisé pour faire fonctionner des sites d’information, des plateformes commerciales et des applications Web. Il constitue également l’un des composants essentiels de WordPress, le système de gestion de contenu de nombreux sites Internet.
Selon Associated Press, plusieurs gouvernements ont pris des mesures préventives. Au Royaume-Uni, certains services publics en ligne ont été temporairement indisponibles. En Finlande, le site gouvernemental a également connu des perturbations pendant les opérations de sécurisation.
Des outils d’intelligence artificielle ont contribué à identifier et à analyser les vulnérabilités. OpenAI, les entreprises de cybersécurité Calif et Wiz, ainsi que d’autres chercheurs, ont participé aux investigations. La PHP Foundation précise toutefois que les premiers indices concernant l’une des failles remontent à 2024. Les recherches menées cette année ont permis de démontrer plus clairement les possibilités d’exploitation.
Face au risque, les responsables de PHP appellent les administrateurs à installer rapidement les versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour les propriétaires de sites WordPress, la vérification doit notamment porter sur la version de PHP utilisée par leur hébergeur. La mise à jour des extensions ou du thème ne suffit pas nécessairement à corriger une vulnérabilité présente dans le langage lui-même.
