L’archive officielle de sécurité de PHP a publié le 21 octobre 2026 un avis consacré à CVE-2026-109618 et CVE-2026-109619. L’article indique que ces deux failles peuvent permettre une exécution de code sans authentification. Il n’ajoute toutefois aucun élément technique aux informations de l’avis et aux versions corrigées déjà rapportées.

Le texte invite les administrateurs à examiner l’environnement PHP réellement utilisé et sa version, ainsi que les correctifs présents et la configuration du serveur. Cette vérification doit porter sur le runtime qui traite les requêtes web avec PHP-FPM ou Apache, car la version affichée en ligne de commande peut être différente. Pour les anciennes branches PHP, il faut consulter les avis de sécurité du système d’exploitation ou de l’hébergeur. Les responsables de VPS et de serveurs dédiés doivent installer la mise à jour adéquate, eux-mêmes ou avec l’aide d’un administrateur. En hébergement mutualisé, le client doit demander confirmation de l’installation des deux correctifs. À défaut, il peut demander la date de disponibilité d’un environnement corrigé ou un transfert vers celui-ci.

Ces recommandations concernent les sites web et les applications, ainsi que les API et les services backend. Les utilisateurs de WordPress.com doivent suivre l’avis de sécurité de la plateforme. Un WordPress installé sur son propre hébergement doit être vérifié avec l’hébergeur ou mis à jour directement sur le serveur. Mettre WordPress à jour ou ajouter un plugin de sécurité ne corrige pas le runtime PHP. L’article cite W3Techs pour rappeler la large présence de PHP parmi les sites dont le langage serveur est connu et renvoie à l’avis officiel de PHP.