Failles critiques PHP (CVE-2026-109618 et CVE-2026-109619) : comment nous avons protégé votre hébergement

En résumé : le 20 octobre 2026, la PHP Foundation a annoncé deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619. Nous avons appliqué des mesures d'atténuation dès le 20 octobre, puis déployé les correctifs sur toute notre flotte le 21 octobre. Votre hébergement est à jour. Dans la grande majorité des cas, vous n'avez rien à faire.

Ce qui s'est passé

Le 20 octobre 2026, la PHP Foundation a annoncé deux vulnérabilités critiques touchant le cœur de PHP : CVE-2026-109618 et CVE-2026-109619, cotées 9,2 sur 10 à l'échelle CVSS. Dans certaines conditions, elles permettent l'exécution de code à distance sur un serveur web.

Le correctif officiel était planifié pour le 21 octobre à 14 h 00 UTC (10 h, heure de l'Est). Des informations techniques ayant circulé publiquement avant cette date, nous avons traité la menace comme active et agi sans attendre la publication.

Notre réponse, étape par étape

Nous surveillions l'annonce depuis sa publication. Notre intervention s'est déroulée en deux temps.

20 octobre : mesures d'atténuation préventives. Avant même qu'un correctif existe, nous avons réduit la surface d'attaque sur l'ensemble de la flotte, notamment en désactivant le suivi de progression des téléversements de fichiers de PHP (« upload progress »), une fonctionnalité liée au vecteur visé. L'objectif : protéger nos serveurs pendant la fenêtre où aucun correctif n'était disponible.

21 octobre : déploiement des correctifs. Dès que notre fournisseur de plateforme, CloudLinux, a publié les paquets corrigés, nous les avons déployés sur toute la flotte au fur et à mesure de leur disponibilité. Toutes les versions de PHP de nos serveurs sont maintenant corrigées.

L'isolation par compte déjà en place sur notre infrastructure (CageFS) limitait par ailleurs la portée d'une éventuelle exploitation pendant toute cette période.

Ce que vous pourriez remarquer

Pour la grande majorité de nos clients, il n'y a eu aucune interruption perceptible. Deux points méritent toutefois votre attention :

• De courtes interruptions web ont pu survenir pendant l'application des correctifs, le temps que les services PHP redémarrent.
• Le suivi de progression des téléversements a été désactivé. La plupart des sites n'utilisent pas cette fonctionnalité (les barres de progression modernes fonctionnent côté navigateur). Si vous constatez un problème de téléversement de fichiers dans votre application, communiquez avec notre équipe : nous évaluerons la situation avec vous.

Et les versions de PHP plus anciennes ?

C'est ici que notre choix de plateforme fait une réelle différence. Le projet PHP ne publie de correctifs que pour les versions encore supportées (8.2 et plus récentes). Un hébergement qui s'appuie uniquement sur ces versions laisse donc sans protection tout site tournant sur une version plus ancienne.

Grâce à CloudLinux, nos serveurs reçoivent des correctifs de sécurité rétroportés bien au-delà de ce cycle officiel. Concrètement, même les sites hébergés sur des versions en fin de vie (jusqu'à PHP 5.x et 7.x) ont été corrigés dans le cadre de cette intervention.

Cela dit, exécuter une application sur une version de PHP obsolète reste une dette de sécurité à résorber. Après ce déploiement, nous communiquerons directement avec les clients et partenaires dont l'application repose sur une version qui ne peut plus être mise à jour, afin de planifier ensemble les prochaines étapes.

Avez-vous quelque chose à faire ?

Dans la plupart des cas, non. Votre hébergement est à jour et protégé contre ces vulnérabilités. Si une action de votre part est requise, nous vous contacterons directement.

La meilleure protection à long terme reste de maintenir vos applications sur une version de PHP supportée. Si vous n'êtes pas certain de la version utilisée par votre site, ou si vous souhaitez planifier une mise à niveau, notre équipe est là pour vous accompagner.

Oui, les médias ont parlé de ces failles. Mais pour l'industrie de l'hébergement web, c'était un mercredi comme un autre : surveiller, anticiper, corriger. C'est le travail que nous faisons chaque jour pour que vous n'ayez pas à y penser.

Pour toute question, communiquez avec notre équipe de soutien.