Qu'est-ce que CVE-2026-109618 exactement ?

C'est une vulnérabilité critique (CVSS 9.8) dans la gestion des erreurs de mémoire insuffisante (out-of-memory) de PHP : lorsque PHP interrompt une requête par manque de mémoire via longjmp(), certaines zones de mémoire restent dans un état non initialisé. Le nettoyage de requête suivant peut alors lire ou exécuter cette mémoire invalide, ce qui permet l'exécution de code à distance sans authentification.

Dois-je m'inquiéter si je ne sais pas quelle version de PHP j'utilise ?

Oui, c'est justement le point de départ : sans connaître votre version, impossible de savoir si vous êtes exposé. Deux solutions rapides : votre panneau d'hébergement (section « Version PHP » sur cPanel, Plesk, OVH, o2switch) ou un scan passif automatisé comme celui de ScanMonSite, qui lit la version depuis les en-têtes techniques du site.

La mise à jour PHP va-t-elle casser mon site ?

C'est le risque principal qui retient les gens de mettre à jour, et il est réel sur du code ancien non maintenu. Testez d'abord sur un environnement de préproduction si votre hébergeur en propose un, ou a minima sauvegardez votre site avant la mise à jour. Les sauts de version mineure (ex. 8.2.30 → 8.2.35) cassent rarement un site : ce sont des correctifs, pas des changements de version majeure.

Combien de temps ai-je pour corriger la faille ?

Aucun délai de grâce : PHP.net indique un exploit démontré permettant à une requête non authentifiée de déclencher l'attaque avant même que le code de votre application ne s'exécute. Le risque est donc immédiat dès la publication du correctif, qui révèle implicitement la faille à tout attaquant qui compare les versions.

Mon hébergeur a-t-il déjà corrigé automatiquement la faille à ma place ?

Certains hébergeurs mutualisés appliquent les mises à jour PHP mineures automatiquement, d'autres laissent le choix de la version à l'utilisateur et ne touchent jamais à ce réglage. Il n'y a pas de règle générale : la seule façon de savoir est de vérifier la version réellement active sur votre site, pas de supposer.

Faille PHP octobre 2026 : que faire ? (CVE-2026-109618)

Si votre site tourne sous PHP 8.2, 8.3, 8.4 ou 8.5, vérifiez immédiatement la version exacte installée et mettez à jour vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 selon votre branche. Le 21 octobre 2026, PHP.net a publié un avis de sécurité critique pour deux vulnérabilités — CVE-2026-109618 et CVE-2026-109619 — permettant l'exécution de code à distance sans authentification sur toute installation PHP servant des requêtes web. Un correctif existe pour chaque branche depuis le jour même de l'annonce : la seule action nécessaire est de l'appliquer.

Qu'est-ce que la faille PHP d'octobre 2026 ?

La faille PHP d'octobre 2026 désigne la combinaison de deux vulnérabilités critiques publiées le même jour par l'équipe PHP.net : CVE-2026-109618 et CVE-2026-109619. Toutes deux touchent le cœur même du langage PHP, pas une extension ou une bibliothèque tierce : elles affectent donc potentiellement tout site PHP, qu'il tourne sous WordPress, PrestaShop, Drupal ou une application maison. Certains y font référence sous le raccourci « php2shell », par analogie avec les noms donnés à des chaînes d'attaque comparables comme Node2Shell ou wp2shell.

Concrètement, selon l'avis officiel de PHP.net :

CVE-2026-109618 (CVSS 9.8, critique) : un bug dans la gestion des erreurs de mémoire insuffisante (out-of-memory). PHP interrompt le traitement d'une requête via longjmp(), mais certaines zones de mémoire ne sont pas correctement réinitialisées. La procédure de nettoyage de la requête suivante peut alors lire ou exécuter cette mémoire invalide.
CVE-2026-109619 (CVSS 8.1, élevée) : un état interne global peut survivre après la libération de sa mémoire. Une requête ultérieure traitée par le même worker peut alors utiliser cet état obsolète avant sa réinitialisation normale.

PHP.net précise que le risque est le plus élevé pour mod_php sous Apache, avec un exploit démontré où une requête non authentifiée peut déclencher l'attaque avant même que le code applicatif ne s'exécute. Sont également concernés PHP-FPM, php-cgi, FrankenPHP et LiteSpeed — autrement dit, la quasi-totalité des configurations PHP servant du trafic web.

Quelles versions de PHP sont touchées ?

Toutes les branches actives de PHP sont concernées. Le correctif a été publié le même jour pour chacune d'elles :

Branche PHP 8.2 → corrigée en version 8.2.35
Branche PHP 8.3 → corrigée en version 8.3.36
Branche PHP 8.4 → corrigée en version 8.4.27
Branche PHP 8.5 → corrigée en version 8.5.12

Toute version strictement inférieure à ces numéros, sur la branche correspondante, est considérée comme vulnérable. Les branches antérieures à 8.2 (PHP 8.1, 8.0, 7.x…) ne reçoivent plus aucun correctif de sécurité officiel : si votre site tourne encore dessus, cette faille précise n'a jamais été corrigée et ne le sera jamais sur cette branche — la seule remédiation est de migrer vers une branche supportée.

Comment savoir si mon site est touché par la faille PHP ?

Deux méthodes, une manuelle et une automatisée :

1. Depuis votre panneau d'hébergement

Sur cPanel, Plesk, OVH ou o2switch, cherchez la section « Version PHP » ou « Sélecteur PHP » dans votre espace client. Le numéro affiché doit être comparé directement à la liste ci-dessus.

2. Par un scan passif automatisé

Si vous n'avez pas facilement accès à l'hébergement, ou pour vérifier plusieurs sites rapidement, un scan passif lit la version PHP directement depuis les en-têtes techniques renvoyés par le serveur (quand ils sont exposés), sans aucune tentative d'exploitation. C'est exactement ce que fait le scanner gratuit de ScanMonSite ci-dessous, qui compare en plus votre cœur WordPress et vos plugins aux CVE connues.

Quel est le risque concret pour mon activité ?

Pour un site e-commerce ou vitrine, l'impact va du simple défaçage à la compromission complète du serveur : vol de données clients (coordonnées, parfois moyens de paiement), envoi de spam ou de phishing depuis votre nom de domaine, dépôt de fichiers malveillants (« shells » PHP) permettant une prise de contrôle durable, ou mise en liste noire par Google et les filtres antispam — avec les conséquences qui en découlent sur votre référencement et votre délivrabilité email.

Pourquoi cette faille est-elle particulièrement dangereuse ?

Trois caractéristiques distinguent cette vague d'un correctif PHP ordinaire. D'abord, elle touche le moteur d'exécution lui-même, pas une fonction périphérique : toute application PHP qui traite des requêtes web est concernée, quel que soit le framework ou le CMS au-dessus. Ensuite, PHP.net évoque un exploit démontré, pas seulement théorique, capable de s'exécuter avant même que le code de votre application ne prenne la main — un pare-feu applicatif classique ou un plugin de sécurité WordPress ne peut donc rien filtrer à ce stade. Enfin, la publication même du correctif agit comme une annonce publique du problème : dès que les numéros de version corrigés sont connus, il suffit à un attaquant de comparer la bannière de version d'un site pour identifier les cibles encore vulnérables, ce qui transforme chaque jour de retard en fenêtre d'exposition active plutôt que théorique.

Comment corriger la faille PHP (php2shell) ?

Identifiez la branche PHP active de votre site (voir méthodes ci-dessus).
Sauvegardez votre site (fichiers + base de données) avant toute modification, surtout si le code n'a pas été audité récemment.
Dans le panneau d'hébergement, sélectionnez la version corrigée correspondant à votre branche (ex. 8.2.35 pour la branche 8.2) — ne sautez pas de branche majeure sans tester, PHP 8.5 n'est pas un simple correctif de PHP 8.2.
Vérifiez que le site fonctionne normalement après la mise à jour (pages principales, formulaires, panier si e-commerce).
Si votre branche est antérieure à 8.2 (donc sans aucun correctif possible), planifiez une migration vers une branche supportée — c'est le risque le plus élevé indépendamment de cette faille précise.

Où changer la version PHP selon votre hébergeur

OVH (hébergement mutualisé) : espace client OVHcloud → Hébergements → onglet « Multisite » → sélecteur de version PHP en face du domaine concerné.
o2switch : cPanel → section « Logiciel » → « Sélecteur de version de PHP » (MultiPHP Manager).
cPanel générique : même chemin que ci-dessus, « MultiPHP Manager » dans la section Logiciel.
Plesk : onglet du domaine → « Paramètres Hosting » → menu déroulant « Version PHP ».
VPS ou serveur dédié avec Docker : mettez à jour l'image de base de votre Dockerfile (ex. php:8.2.35-fpm) et redéployez — changer uniquement le code sans reconstruire l'image ne suffit pas.

Au-delà du correctif : comment réduire le risque sur la durée ?

Mettre à jour PHP ferme la porte d'entrée connue aujourd'hui, mais ne vous protège pas de la prochaine faille. Trois réflexes limitent l'exposition dans la durée : activer les mises à jour de sécurité automatiques si votre hébergeur le propose, pour ne plus dépendre d'une vérification manuelle à chaque annonce ; maintenir des sauvegardes régulières et testées, séparées du serveur de production, pour pouvoir restaurer rapidement en cas de compromission malgré tout ; et surveiller activement votre site — alertes de votre hébergeur, Google Search Console, ou un scan périodique — plutôt que d'attendre de découvrir un problème par hasard.

Pour aller plus loin, consultez directement l'avis de sécurité officiel PHP.net du 21 octobre 2026 ou les fiches détaillées CVE-2026-109618 et CVE-2026-109619 sur la base NVD.

Dans le contexte de la vague d'octobre 2026

Cette faille PHP a été publiée le même jour que Node2Shell (CVE-2026-111497), une faille critique touchant le runtime Node.js. Si votre site WordPress tourne sous PHP, vérifiez également son exposition à la chaîne wp2shell, activement exploitée depuis juillet 2026 : les deux failles sont indépendantes mais peuvent toucher le même site.

Faille PHP d'octobre 2026 : que faire ?