Le Forum Catholique

Deux failles critiques de PHP, notées 9,2 sur 10, ont été confirmées le 20 octobre 2026, menaçant toutes les versions depuis PHP 5 et permettant une exécution de code à distance sans authentification. Des correctifs urgents sont publiés le 21 octobre 2026, entraînant la fermeture préventive de nombreux sites web en Europe.

Moi pas comprendre

Redescendez sur terre mon vieux. Tout le monde ne maitrise pas votre charabia et le rapport avec le VOM n’est pas évident.

En termes simples, cette alerte signifie qu'un problème de sécurité très grave a été découvert dans PHP, le langage qui fait fonctionner une grande partie du Web (WordPress, Drupal, Magento, de nombreuses applications métiers, etc.).

Que sont ces failles ?

Deux vulnérabilités, identifiées comme CVE-2026-109618 et CVE-2026-109619, ont reçu un score de 9,2/10 sur l'échelle CVSS, ce qui correspond à un niveau critique.

Le risque principal est une exécution de code à distance (RCE). Cela signifie qu'un attaquant pourrait faire exécuter ses propres commandes sur le serveur web ciblé.

Pourquoi est-ce si inquiétant ?

L'alerte indique que l'exploitation pourrait être :

à distance : le pirate n'a pas besoin d'accéder physiquement au serveur ;
sans authentification : aucun identifiant ni mot de passe ne serait nécessaire ;
présente potentiellement depuis PHP 5 : des millions de serveurs pourraient être concernés.

Concrètement, un attaquant pourrait potentiellement :

prendre le contrôle d'un site web ;
voler des données ;
installer un logiciel malveillant ;
modifier les pages affichées aux visiteurs.
Pourquoi parle-t-on de fermeture préventive de sites ?

Le 20 octobre 2026, des informations sur ces failles ont fuité avant la publication des correctifs. Face au risque, plusieurs organismes de cybersécurité, dont CERT-EU, ont recommandé d'isoler ou de déconnecter temporairement les applications exposées sur Internet lorsqu'une mise à jour immédiate n'était pas possible.

C'est ce qui a conduit certains hébergeurs ou administrateurs à rendre des sites momentanément indisponibles par mesure de précaution.

Que doivent faire les administrateurs ?

La priorité est de :

identifier tous les serveurs utilisant PHP ;
appliquer immédiatement les correctifs publiés le 21 octobre 2026 ;
vérifier les journaux de sécurité pour détecter d'éventuelles tentatives d'exploitation ;
isoler les systèmes impossibles à mettre à jour rapidement.
Dois-tu t'inquiéter ?
Si tu es simple utilisateur d'un site web : non, tu ne peux pas faire grand-chose, c'est l'administrateur du site qui doit agir.
Si tu gères un serveur web, un WordPress ou une application PHP : oui, il faut vérifier immédiatement la version de PHP utilisée et appliquer les correctifs disponibles.

À lire parfois certains messages sur le FC, on se demande si on n'est pas piraté depuis longtemps.

;o)

La liste des liseurs, les pseudos, les adresses mails...

C'est important d'alerter, on ne vit plus au temps de la malle poste, des loups et de Mandrin... (quoique)

je n'avais pas trop le temps de rentrer dans les détails n'étant pas moi même un spécialiste... c'est un de mes fils qui m'a alerté et j'ai tout de suite pensé au forum (qui est probablement sur une ancienne version)

Saint Carlo Accutis, n'est ce pas le saint (?) de l'informatique ?

à "l'équipe?" technique. Tabu2 ? pour cette mise à jour qui sauvegardera mieux nos données.

Le titre vaut d'être répété :

Bravo et merci pour tout le boulot.

Le monde des échanges ...
fragile et corrigible ?
Mais si utile ...

Bonne reprise à tous les opérateurs concernés.
Merci à vous Tabu N (2 ? 3 ?)