Failles critiques dans PHP : ce que les sites et PME d'Afrique doivent faire maintenant
Deux failles notées 9,2 sur 10 ont poussé l'équipe de PHP à publier des correctifs en urgence le 21 octobre 2026. Ce langage fait tourner une immense partie du web, boutiques en ligne comprises, donc ton site est peut-être concerné sans que tu le saches.
Le 21 octobre 2026, l'équipe de PHP a publié des mises à jour de sécurité en urgence. Elles corrigent deux vulnérabilités critiques, référencées CVE-2026-109618 et CVE-2026-109619. D'après ChannelNews, les deux failles sont évaluées à 9,2 sur 10 sur l'échelle CVSS, le barème qui mesure la gravité d'une faille. Cette note place les deux failles dans la catégorie « critique ».
PHP est un langage de programmation utilisé côté serveur. Selon W3Techs, il fait tourner 69,3 % des sites dont le langage serveur est identifiable. Une faille dans PHP peut donc toucher des sites très différents : vitrines de PME, blogs, boutiques en ligne, portails de services.
Que s'est-il passé ?
Selon le Journal du Coin, tout commence le 20 octobre 2026 par un message publié sur Hacker News. Il annonçait deux failles critiques de PHP et montrait un outil d'attaque baptisé PHP2Shell. Le message a été supprimé, mais des captures d'écran ont circulé. Dans l'après-midi, les chercheurs de la société watchTowr ont confirmé que les failles étaient réelles et ont reproduit la première.
La publication des détails était pourtant prévue pour plus tard. Le Journal du Coin explique que l'embargo, l'accord par lequel chercheurs et éditeur gardent le silence jusqu'au correctif, a volé en éclats. L'équipe de sécurité de PHP a donc avancé sa publication au 21 octobre 2026.
D'après Next, les correctifs sont sortis à 16 h ce jour-là, avec une légère avance sur l'horaire annoncé. Le média ajoute que des sites ont été mis en maintenance préventive et que des éléments d'exploitation circulaient déjà, sans confirmation à ce stade.
Pourquoi c'est grave : l'exécution de code à distance
Les deux failles sont de type RCE, pour « remote code execution », c'est-à-dire exécution de code à distance. Selon Solutions Numériques, elles permettent cette exécution sans authentification. Le Journal du Coin résume ainsi le risque : une requête web bien formée peut suffire à faire exécuter des commandes au serveur.
Next précise que les deux failles ont en commun la manipulation par PHP de données dans un état non fiable. Elles se situent dans le moteur de PHP lui-même, au niveau de la gestion de la mémoire, selon le Blog du Modérateur. Le code de ton propre site n'est donc pas en cause. Ce qui compte, c'est la version de PHP installée sur le serveur.
Le Journal du Coin souligne un risque particulier pour le commerce en ligne. Les boutiques sous WooCommerce, Magento ou Shopware reposent sur PHP. Un pirate qui prendrait la main sur le serveur pourrait, par exemple, remplacer l'adresse de paiement affichée ou injecter un faux formulaire de connexion. Le piège apparaîtrait sur le vrai domaine, avec le vrai certificat de sécurité.
Quelles versions mettre à jour ?
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, selon ChannelNews et le Blog du Modérateur. Les versions 8.1 et antérieures ne sont plus maintenues officiellement. Solutions Numériques rapporte pourtant que, vu la gravité, l'équipe PHP a fourni des correctifs minimaux pour PHP 7.4, 8.0 et 8.1.
Sont concernées les installations qui traitent des requêtes web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed, énumère le Blog du Modérateur. Pour connaître ta version, tape la commande « php -v ». Sur WordPress, va dans Outils > Santé du site > Infos > Serveur, indique la même source.
Le réflexe pour une PME ou un indépendant
Beaucoup de sites africains sont hébergés sur des offres mutualisées, où c'est l'hébergeur qui gère PHP. Dans ce cas, le plus simple est de lui écrire. Demande-lui quelle version tourne sur ton site, si le correctif est appliqué et à quelle date. Garde sa réponse par écrit.
Si tu gères toi-même ton serveur, voici l'ordre conseillé par les autorités et les chercheurs cités. Huntress recommande d'abord de recenser chaque installation de PHP, y compris celles cachées dans des logiciels tiers. Il faut ensuite isoler d'internet tout ce qui tourne sur une version en fin de vie. Tant que le correctif n'est pas appliqué, le CERT-FR et le CERT-EU recommandent d'isoler du réseau public les équipements concernés. Ils conseillent aussi de rechercher une éventuelle compromission.
Si ta version n'a plus de support, prévois sans attendre une migration vers une branche maintenue. Un correctif minimal ne remplace pas une version à jour.
Une alerte à prendre au sérieux, sans céder à la panique
Les premiers jours, l'information a circulé en désordre. Des pages prétendant publier un exploit fonctionnel sont apparues, que PHP n'a pas authentifiées, selon Les Joies du Code. Le Journal du Coin notait de son côté qu'aucun code d'exploitation public n'avait été identifié le 20 octobre. Next rapporte ensuite, d'après le directeur technique de Cloudflare, que des vecteurs d'attaque précoces auraient déjà été repérés. Ces éléments restent non confirmés.
Cet épisode rappelle une règle simple pour ceux qui bâtissent en ligne : un site, même petit, est une infrastructure à entretenir. La mise à jour du langage qui le fait tourner fait partie du budget, au même titre que l'hébergement. Si ta boutique encaisse des paiements, sa sécurité fait partie de la confiance que tes clients te donnent.
