Deux failles de sécurité critiques ont été découvertes dans le langage de programmation PHP, permettant potentiellement à des attaquants d'exécuter du code à distance sur les serveurs. Elles ont toutes deux obtenu une note CVSS v4.0 de 9,2/10 et une note watchTowr de 10/10 . Cette menace pourrait affecter l'infrastructure hébergeant des millions de sites web. Les vulnérabilités des logiciels utilisés dans l'infrastructure Internet peuvent avoir des conséquences qui dépassent le cadre d'un seul site web. En particulier, les vulnérabilités des technologies utilisées par des millions de sites web peuvent constituer un problème de sécurité majeur si des attaquants parviennent à accéder aux serveurs. Une alerte de sécurité critique vient d'être émise concernant PHP, l'un des langages de programmation les plus populaires sur Internet. L'équipe de développement PHP prépare des correctifs urgents pour deux failles de sécurité critiques. Selon les chercheurs en sécurité, ces failles pourraient permettre l'exécution de code à distance. La fuite de détails techniques concernant ces vulnérabilités avant la date de publication prévue est également préoccupante.

L'équipe de sécurité PHP a annoncé le 20 octobre que des correctifs pour deux failles de sécurité seront publiés le mercredi 21 octobre 2026 à 14h00 UTC (16h00 EST). Ces deux failles ont obtenu un score de 9,2 sur 10 selon le système d'évaluation de sécurité CVSS v4.0. Les développeurs n'ont pas encore divulgué les détails techniques des vulnérabilités ni les versions de PHP concernées. Des informations sur les versions affectées et l'étendue des correctifs devraient être annoncées lors de la publication de la mise à jour. L'équipe PHP a indiqué qu'elle pourrait publier des correctifs plus tôt que prévu si des détails concernant les vulnérabilités étaient rendus publics ou si des preuves de leur exploitation lors d'attaques actives étaient constatées. Les administrateurs sont invités à suivre ces annonces et à se tenir prêts à installer les mises à jour dès que possible.

D'après les chercheurs en sécurité, les vulnérabilités identifiées comme CVE-2026-109618 et CVE-2026-109619 pourraient permettre l'exécution de code à distance (RCE). Ces vulnérabilités permettent aux attaquants d'exécuter à distance des commandes ou du code sur un système cible. La société de sécurité watchTowr a confirmé l'existence de ces vulnérabilités et a indiqué avoir réussi à en reproduire au moins une. Selon elle, ces vulnérabilités affecteraient vraisemblablement les versions 5, 6, 7 et 8 de PHP. Cependant, l'équipe PHP n'a pas encore confirmé cette information. De nouvelles inquiétudes ont été soulevées par une vidéo présentant un outil d'exploitation présumé appelé PHP2Shell. Cette vidéo affirme que du code peut être exécuté sur des serveurs hébergeant diverses applications web basées sur PHP, notamment WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0 et 8.83.29, Symfony 8.1.9, Drupal 11.4.10 et WHMCS 9.0.9.

watchTowr a indiqué qu'au moment de la publication de son avertissement, elle n'avait constaté aucune exploitation active de ces vulnérabilités. Par conséquent, rien ne permet de conclure que des cybercriminels ont déjà lancé des attaques de grande ampleur. Cependant, la situation pourrait évoluer rapidement une fois les détails techniques divulgués. Les experts recommandent aux organisations d'identifier les serveurs et applications utilisant PHP et de se préparer à l'application des correctifs. Pour les systèmes critiques, il est également judicieux d'envisager une restriction temporaire de leur accès Internet, si la nature des services fournis le permet. La société de sécurité Sansec prévoit que des attaques massives pourraient débuter dans les 15 minutes suivant la publication d'un correctif. Webfence et Huntress ont également mis en garde les administrateurs système et les incitent à se préparer. Il existe une différence significative entre les évaluations des chercheurs en sécurité et l'annonce officielle de l'équipe PHP. WatchTowr affirme que les vulnérabilités sont notées 10/10 sur l'échelle CVSS. Cependant, l'équipe PHP attribue officiellement un score de 9,2 aux deux vulnérabilités.

Les experts recommandent aux organisations d'identifier les serveurs et applications utilisant PHP et de se préparer à l'application des correctifs. Pour les systèmes critiques, il est également judicieux d'envisager une limitation temporaire de leur accès Internet, si la nature des services fournis le permet. D'après les estimations des chercheurs, ce problème pourrait potentiellement affecter environ 1,3 million de serveurs accessibles via Internet. Cependant, ce nombre de dispositifs vulnérables n'est pas confirmé. PHP est un langage de programmation open source utilisé pour créer des sites web et des applications web dynamiques. Il est largement utilisé dans les systèmes de gestion de contenu (CMS) tels que WordPress, ainsi que dans les plateformes de commerce électronique, les applications d'entreprise et les services web personnalisés. L'ampleur réelle de la menace ne sera déterminée qu'une fois les détails publiés et les configurations affectées identifiées.