L'équipe de sécurité de PHP a programmé une publication pour le 21 octobre 2026 à 14:00 UTC. Cette mise à jour doit corriger deux vulnérabilités critiques, chacune évaluée à 9,2 sur 10 selon CVSS v4.0. Dans son Security Advisory 2026-018, CERT-EU cite CVE-2026-109618 et CVE-2026-109619 et signale un risque possible d'exécution de code à distance.

Au moment de cette alerte, PHP n'avait pas encore publié les détails techniques, les versions concernées ni les versions corrigées. L'existence du problème est confirmée, mais l'exposition exacte de chaque installation reste inconnue. Une exécution de code à distance peut permettre à un attaquant de faire exécuter du code par un serveur. Selon la faille et les droits du processus concerné, les conséquences possibles comprennent l'accès aux données de l'application, l'exposition d'identifiants ou la modification de fichiers du site. Ces conséquences décrivent la classe de vulnérabilité et ne constituent pas un bilan confirmé pour chaque application PHP.

CERT-EU recommande de recenser les applications PHP et de préparer l'installation des correctifs dès leur disponibilité. Si une correction immédiate est impossible, les organisations devraient envisager d'isoler les applications accessibles depuis Internet des réseaux publics jusqu'à l'application d'un correctif. L'avis ne demande pas l'arrêt systématique de tous les serveurs.

La première question opérationnelle est de savoir qui peut mettre PHP à jour en production. L'équipe applicative, l'équipe serveur et l'hébergeur peuvent gérer des parties différentes de l'environnement. Les sites de différents clients peuvent suivre des procédures distinctes. L'inventaire doit couvrir les sites publics, les API, les outils d'administration et les anciens projets. Il faut noter l'environnement, la version PHP déployée et la personne chargée des mises à jour. Le runtime qui traite les requêtes web doit être contrôlé, car la version affichée en ligne de commande peut être différente.

Avant le déploiement, vérifiez les sauvegardes et le plan de restauration. Définissez la méthode de mise à jour pour chaque environnement et préparez des contrôles pour les fonctions essentielles. Lorsque PHP publiera son avis, comparez les versions et les configurations déployées avec les éléments concernés. Utilisez les versions corrigées indiquées par PHP, le fournisseur du système d'exploitation ou l'hébergeur. Les publications sur les réseaux sociaux ne suffisent pas pour déterminer une version sûre.

Après la mise à jour, vérifiez que l'application utilise bien le runtime corrigé. Testez l'authentification et les principales requêtes API. Contrôlez ensuite les téléversements, les opérations sur la base de données et les traitements en arrière-plan si l'application en dépend. Notez les environnements mis à jour et ceux qui nécessitent encore une intervention.

Cette synthèse a été établie le 21 octobre 2026 à partir des avis disponibles avant la publication prévue. Les sources sont l'annonce PHP consacrée à la prochaine mise à jour de sécurité et le Security Advisory 2026-018 de CERT-EU.