La réponse courte
Le 21 octobre 2026, l'équipe de PHP a corrigé deux failles critiques qui permettaient de prendre la main sur un serveur sans aucun mot de passe. PHP fait tourner une grande partie des sites du web. Chez holyweb, nous avons protégé les serveurs en attendant le correctif, puis installé les versions corrigées de PHP dès leur sortie. Si votre site est chez nous, vous n'avez rien à faire.
Ce qui s'est passé
PHP est le langage qui fait fonctionner une grande partie des sites internet : WordPress, les boutiques en ligne, les formulaires de contact, les espaces d'administration. Le 20 octobre, son équipe de sécurité a prévenu qu'une mise à jour d'urgence sortirait le lendemain, sans en dire plus, le temps de laisser les hébergeurs se préparer.
Le 21 octobre à 16 h (heure de Paris), PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Elles corrigent deux failles, CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur 10, soit le niveau « critique ». Selon PHP, toutes les installations qui répondent à des visiteurs sur le web sont concernées.
Ce que ces failles permettent
Les deux failles touchent la façon dont PHP gère sa mémoire d'une visite à l'autre. En exploitant ces erreurs, un attaquant peut faire exécuter ses propres instructions par le serveur, sans être connecté et sans connaître aucun mot de passe. C'est ce qu'on appelle une exécution de code à distance, le type de faille le plus grave.
Concrètement, sur un serveur non corrigé, un attaquant peut :
- modifier les pages du site, par exemple pour y glisser des liens frauduleux ou rediriger les visiteurs ;
- lire les données stockées : messages reçus par formulaire, comptes clients, commandes ;
- se servir du serveur pour envoyer du spam ou attaquer d'autres sites, ce qui peut faire bloquer votre domaine ;
- installer un accès caché pour revenir plus tard, même après la mise à jour.
Ce que nous avons fait pour nos clients
Avant le correctif, nous avons désactivé sur nos serveurs le réglage de PHP qui suit la progression des envois de fichiers (session.upload_progress). C'est l'une des parades indiquées par PHP en attendant la mise à jour. Elle ne règle pas tout, PHP le dit lui-même, mais elle ferme une des portes d'entrée. Seules les barres de progression d'envoi de fichiers s'appuient sur ce réglage : vos sites ont continué de fonctionner normalement.
Dès la sortie du correctif, nous avons mis à jour PHP vers les versions corrigées sur nos serveurs. Il n'y a eu aucune action à faire de votre côté, et rien n'a changé dans votre site.
Ce genre de réaction rapide fait partie de notre abonnement : l'hébergement, les mises à jour de sécurité et la surveillance sont compris, sans supplément ni ticket à ouvrir.
Votre site n'est pas chez holyweb ?
Posez trois questions à votre hébergeur ou à votre prestataire :
- Quelle version de PHP fait tourner mon site ? Elle doit être au moins 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 selon la branche.
- La mise à jour a-t-elle été faite, et quand ?
- Mon site est-il encore en PHP 8.1 ou plus ancien ? Ces versions ne reçoivent plus de correctif de PHP : il faut passer à une version suivie.
Pourquoi un site doit être maintenu
Un site internet n'est pas terminé le jour de sa mise en ligne. Les logiciels qui le font tourner reçoivent des correctifs de sécurité toute l'année, et une faille comme celle-ci peut être exploitée dans les heures qui suivent sa publication. Un site sans maintenance reste exposé jusqu'à ce que quelqu'un s'en occupe. Nous détaillons ce que cela représente dans comment tenir son site à jour sans y passer ses soirées.