Une terrible menace plane sur tout le web. La raison ? Hier soir, l’organisation qui propose le langage de programmation PHP a confirmé l’existence de deux failles critiques au niveau de cet outil (CVE-2026-109618 et CVE-2026-109619). Pour le moment, les détails techniques ne sont pas fournis. Mais l’organisation demande aux développeurs de se préparer à l’avance pour faire une mise à jour qui est prévue ce mercredi.
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
— The PHP Foundation (@ThePHPF) October 20, 2026
Outre le fait que ces failles sont très graves, les dégâts que leur exploitation pourrait causer sont importants, dans la mesure où PHP (un langage côté serveur) est presque partout sur le web (dont le moteur WordPress qui propulserait plus de 40 % des sites web, selon des estimations). En d’autres termes, c’est presque tout le web qui est menacé.
Des attaques ont déjà été détectées par Cloudflare
Et, malheureusement, des attaques seraient déjà en cours. En tout cas, c’est ce qui est indiqué par Dane Knecht, directeur technique de Cloudflare. “Nous constatons l’émergence de premières attaques et mettons à jour nos mesures d’atténuation à mesure que de nouveaux vecteurs apparaissent”, écrit-il sur le réseau social X. L’entreprise indique qu’elle propose des solutions “temporaires” à ses clients, mais qu’il reste nécessaire d’appliquer le correctif dès que celui-ci est disponible.
PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.
We are seeing early attacks emerging and are updating mitigations as new vectors show… https://t.co/wMz9tDTWwH
— Dane Knecht 🦭 (@dok2001) October 21, 2026
Le CERT-EU, le service de cybersécurité de l’Union européenne, a également émis un avis par rapport à ces deux failles. “Le CERT-EU recommande aux organisations de se préparer à la mise à jour immédiate des systèmes affectés. Lorsqu’une mise à jour immédiate n’est pas possible, les organisations devraient envisager d’isoler les applications exposées à Internet des réseaux publics jusqu’à ce qu’un correctif soit disponible”, lit-on dans la publication. En d’autres termes, ce service conseille de déconnecter un site si celui-ci ne peut pas immédiatement être mis à jour.
- Deux failles critiques sur PHP, dont les détails critiques ne sont pas connus, ont été identifiées
- Ce problème est préoccupant, car le langage PHP est utilisé presque partout sur le web
- Un correctif arrive aujourd’hui et il est urgent
- Cloudflare évoque déjà des attaques, tandis que le service de cybersécurité de l’UE conseille d’isoler les sites web qui ne peuvent pas être mis à jour rapidement
📍 Pour ne manquer aucune actualité de Presse-citron, suivez-nous sur Google Actualités et WhatsApp.
