Salut les Geekz, j’espère que vous allez bien ? Quand une alerte de sécurité touche PHP, ce n’est pas seulement une ligne de plus dans les changelogs : une bonne partie du Web peut être concernée. Et si vous hébergez vous-même votre WordPress, la question est simple : est-ce que votre serveur est vraiment à jour ?
Une alerte à prendre au sérieux, sans inventer l’apocalypse
Les références CVE-2026-109618 et CVE-2026-109619 ont été signalées dans l’actualité récente. Avant de qualifier une faille de critique ou d’affirmer qu’elle est massivement exploitée, il faut vérifier les avis officiels, les versions affectées, les conditions d’exploitation et les correctifs. Une référence CVE seule ne suffit pas à déterminer votre exposition.
WordPress à jour, PHP vulnérable : c’est possible
WordPress, ses extensions, son thème, PHP et le serveur web sont des composants distincts. Cliquer sur « Mettre à jour WordPress » ne met pas automatiquement à jour l’interpréteur PHP installé sur Debian, Ubuntu ou votre hébergement.
Autre subtilité : la version PHP affichée dans l’administration ne dit pas toujours tout. Les distributions Linux peuvent intégrer des correctifs de sécurité dans une version dont le numéro principal ne change pas.
Que vérifier sur son serveur ?
- Consulter les bulletins officiels de PHP et ceux de sa distribution.
- Identifier la version réellement utilisée par le site, notamment PHP-FPM ou LSAPI, et pas seulement celle de la ligne de commande.
- Vérifier les paquets installés et les mises à jour de sécurité disponibles.
- Sauvegarder avant intervention et tester le site après mise à jour.
- Contrôler les journaux et surveiller les comportements anormaux sans considérer chaque requête suspecte comme une exploitation réussie.
Le piège du « tout est vert »
Un tableau de bord WordPress impeccable ne garantit pas la sécurité de l’hébergement. Même constat pour un WAF : il ajoute une couche de défense, mais ne remplace jamais les correctifs. On n’est pas là pour trier les lentilles : la sécurité se joue aussi sous le capot.
À retenir : identifier précisément les versions touchées, appliquer les correctifs validés par l’éditeur ou la distribution et contrôler la pile complète. Net, propre et sans bavure.
Deux failles critiques confirmées le 21 octobre
Le projet PHP confirme que CVE-2026-109618 (corruption mémoire lors d’un manque de mémoire) et CVE-2026-109619 (réutilisation d’un état interne libéré) peuvent permettre une exécution de code à distance sans authentification. Elles sont évaluées à 9,2/10 en CVSS 4.0. PHP-FPM, mod_php et LiteSpeed font partie des environnements concernés.
Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. PHP 8.1 et les branches plus anciennes ne sont plus corrigées par le projet PHP lui-même ; des correctifs rétroportés peuvent exister chez certains fournisseurs. Il n’existe pas de mesure de contournement complète : la mise à jour reste indispensable.
Attention aux titres alarmistes : au 21 octobre, le Centre canadien pour la cybersécurité signalait des preuves de concept publiques, mais pas d’exploitation active observée dans son avis. Ce constat daté ne prouve évidemment pas l’absence d’attaques ultérieures.
Sources : PHP.net, avis de sécurité du 21 octobre 2026 ; CERT Santé ; Centre canadien pour la cybersécurité.
Laisser un commentaire