Failles critiques dans PHP : les questions qu’un dirigeant doit poser à ses prestataires
Le CERT-FR a signalé le 21 octobre 2026 deux failles critiques dans PHP, le langage qui fait fonctionner une grande partie des sites et des applications web. Site, boutique en ligne, espaces clients : par où commencer, et qui doit agir ?
À retenir
- Deux failles (CVE-2026-109618 et CVE-2026-109619) permettent d’exécuter du code à distance sans compte sur le service visé.
- Des correctifs sont disponibles depuis le 21 octobre 2026.
- Un site qui s’affiche normalement n’est pas une preuve de sécurité.
Ce que signifie l’alerte
Selon le CERT-FR, ces deux failles peuvent permettre à un attaquant d’exécuter ses propres instructions sur un serveur vulnérable. Les conséquences dépendent de ce que le programme compromis est autorisé à lire ou à modifier : pages du site, documents, identifiants techniques, accès à une base de données. Cela va d’un site indisponible à une fuite d’informations. La présence de PHP ne prouve ni une intrusion ni une vulnérabilité si le correctif a déjà été appliqué.
Le périmètre à vérifier en premier
- Le site institutionnel et la boutique en ligne.
- Les espaces clients et les portails de commande des distributeurs.
- Les applications accessibles aux partenaires.
- Les API, ces interfaces par lesquelles des logiciels échangent des données sans afficher de page.
Une intrusion peut rester invisible : le site continue de s’afficher pendant que ses accès sont détournés. La séparation entre applications, les permissions et les protections réseau déterminent jusqu’où une attaque pourrait aller.
Plusieurs prestataires, une seule réponse à obtenir
Une entreprise confie souvent son site à une agence, l’hébergement à une autre société et la maintenance à un indépendant. L’agence peut mettre à jour les pages sans administrer PHP ; l’hébergeur peut fournir le serveur sans gérer les logiciels installés. C’est le contrat qui détermine qui intervient. Pour chaque service exposé sur Internet, le dirigeant doit obtenir quatre réponses précises :
- Qui administre PHP sur ce service ?
- Quelle correction a été appliquée ?
- À quelle date ?
- Qui a vérifié que l’application utilise bien la version corrigée ?
Le cas de GLPI, outil de gestion de parc informatique, illustre la différence : l’éditeur a corrigé son offre cloud dès le 21 octobre, mais demande aux clients qui l’hébergent eux-mêmes de mettre à jour PHP sur leur serveur. Même logiciel, responsabilités différentes.
Information générale, qui ne remplace pas l’avis de votre prestataire. Les bulletins officiels sont publiés sur le site du CERT-FR : cert.ssi.gouv.fr.
Les chiffres cités (montants levés, revenus, résultats) sont ceux communiqués par les entreprises concernées. Une erreur ? Écrivez à redaction@frenchweb.fr.
Recevez nos prochains articles par email.
S’abonner gratuitementÀ lire aussi
Pigment lève 223 millions d’euros pour équiper plus de grands groupes
L’éditeur français de planification financière annonce une série E pour accélérer auprès des grands groupes et développer ses agents d’IA.
Enact lève près de 27 millions d’euros pour des robots qui « sentent » les forces
La startup zurichoise veut concevoir ensemble la mécanique, les données et les modèles d’IA nécessaires à la manipulation fine.
Elax Énergie lève 30 millions d’euros pour piloter les chauffe-eau
Un boîtier connecté ajuste la chauffe aux besoins du foyer et la décale vers les heures où l’électricité est abondante.