Ceci est un message rapide pour toutes les personnes qui gèrent un site qui utilise PHP, dont les sites WordPress. La Première ministre japonaise a annoncé, le 21 octobre 2026 à 21h55, que deux failles de sécurité posaient un risque de vol de données, de déformation d’un contenu de site et de perte d’accès à un site.
Les gérants de sites web ont pour instruction d’actualiser leur version de PHP avec le patch de 23h, le 21 octobre 2026 (heure du Japon) ou avec une version plus récente de ce patch. Si la mise à jour ne peut pas s’appliquer, il recommande de suspendre temporairement l’accès du public au site en attendant une solution, ou de prendre d’autres mesures de mitigation.
多くのウェブサイトで使用されているPHPに関し、セキュリティチームが重大な2件のぜい弱性に関する注意喚起を行っている。公開しているウェブサイトでPHPを使用しているか確認し、日本時間の21日午後11時に公開される修正パッチについて可及的速やかに適用できるよう準備をお願いしたい。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイトなどを一時的に停止させることも、リスクを低減させるための有効策の1つと考えられる。
Caractéristiques principales de cette faille de sécurité
Il s’agit de vulnérabilités qui permettent l’exécution de code à distance. Elles risquent de faciliter le vol d’informations ou la prise de possession du site.
Les failles concernées, selon PHP touchent les versions PHP 8.5, 8.4, 8.3 et 8.2, ainsi que les versions plus anciennes.
Toutes les installations sont concernées, dont celles utilisant PHP-FPM, Apache en mod_php, php-cgi, FrankenPHP et LiteSpeed.
Vulnérabilités :
- RCE via OOM corruption, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w)
- RCE via stale global state, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp)
Comment mettre le site à jour
Les patchs disponibles sont les suivants : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Il convient de prendre un backup du site et un snapshot avant les mises à jour.
La façon de mettre à jour va dépendre du serveur d’hébergement.
- Sites WordPress gérés par l’hébergeur : l’hébergeur s’en occupe. Vérifier les instructions et la version de PHP sur sa page.
- Web Hosting et Windows Hosting : tant qu’un patch n’est pas disponible pour le serveur mettre en place les outils de mitigation indiqués par PHP. Cela ne protège pas complètement les serveurs, donc il faut appliquer le correctif de sécurité le plus rapidement possible.
- Serveur que vous gérez (VPS) : si votre site a une version de PHP 8.1 ou plus ancienne, PHP ne supporte plus cette version, et il n’y aura pas de patch. Il pourrait exister, selon les hébergeurs, des solutions pour cPanel EasyApache 4 packages for PHP 7.4, 8.0 and 8.1, mais cela n’est pas une garantie. Envisager une mise à jour du site à une version 8.2 ou ultérieure, et installer les mises à jour automatiques autant que possible.
Sources :
- Annonce du Premier ministre japonais.
- Annonce officielle sur le site de PHP : PHP: News Archive – 2026.
- NHK : 情報処理推進機構“プログラミング言語「PHP」でぜい弱性確認 速やかな対応を” | NHKニュース | サイバー攻撃、ＡＩ・ネット・ＩＴ、アメリカ