PHP prépare une mise à jour de sécurité critique prévue le 21 octobre 2026, après avoir identifié deux vulnérabilités affichant toutes deux un score CVSS v4 de 9,2, les plaçant dans la catégorie de gravité critique. La PHP Foundation a annoncé cette prochaine publication le 20 octobre, appelant les utilisateurs à se préparer à mettre à jour immédiatement, et a averti que les correctifs pourraient être publiés plus tôt que prévu si les détails d'exploitation devenaient publics ou si des preuves d'exploitation active apparaissaient.

La publication est prévue à 14 h 00 UTC, soit 15 h 00 BST. Parallèlement à l'annonce de la PHP Foundation, le National Cyber Security Centre (NCSC) du Royaume-Uni a exhorté les organisations à identifier les systèmes vulnérables et à se préparer à appliquer les correctifs dès leur disponibilité. Lorsqu'une remédiation rapide n'est pas possible, a précisé l'agence, les organisations devraient envisager de mettre les systèmes concernés hors ligne jusqu'à ce que les risques puissent être atténués.

Un préavis offre aux administrateurs une fenêtre de préparation

L'alerte précoce de la PHP Foundation vise à donner aux administrateurs le temps de se préparer avant que les correctifs de sécurité ne soient disponibles. La publication pouvant être avancée à bref délai, la préparation ne peut attendre la publication des correctifs.

PHP, ou PHP Hypertext Preprocessor, est un langage de script côté serveur largement utilisé pour créer des sites web et des applications web. Il traite la logique backend, interagit avec les bases de données et génère du contenu dynamique avant d'envoyer les pages aux navigateurs des utilisateurs. Ce rôle répandu rend la sécurité de PHP importante pour les organisations exploitant des sites et applications accessibles sur Internet, car des vulnérabilités dans ce langage peuvent exposer les systèmes qui en dépendent, selon la nature des failles et leur exploitabilité.

Le NCSC recommande d'identifier tous les systèmes exécutant PHP dans l'infrastructure d'une organisation, en donnant la priorité aux systèmes accessibles sur Internet car ils sont directement joignables depuis l'extérieur. Les administrateurs doivent également surveiller ces systèmes pour détecter toute activité suspecte et suivre les recommandations officielles de PHP. L'agence conseille en outre de continuer à surveiller les mises à jour des fournisseurs tiers dont les produits ou services intègrent PHP.

La PHP Foundation a partagé son préavis sur X :

The PHP security team is giving notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

Comment la mise à jour pourrait affecter les opérateurs de sites web

La publication prévue crée une fenêtre de préparation immédiate pour les équipes de sécurité, les hébergeurs et les opérateurs d'applications. Dès que les correctifs seront disponibles, les administrateurs devront évaluer les systèmes concernés et installer rapidement les mises à jour appropriées.

La PHP Foundation a également averti les utilisateurs qui dépendent du dépôt Remi RPM, maintenu par des bénévoles, que les mises à jour n'y seront pas disponibles le jour de la publication. Elle recommande de passer aux paquets de la distribution ou de compiler PHP depuis les sources pour appliquer les correctifs immédiatement. Cet avertissement est important pour les opérateurs dont le processus de patching dépend de ce dépôt, car leur capacité à mettre à jour rapidement pourrait dépendre de l'organisation préalable d'une méthode d'installation alternative.

Le NCSC recommande en outre de mettre les systèmes hors ligne lorsqu'une remédiation immédiate n'est pas réalisable. Cette précaution peut réduire l'exposition pendant que les administrateurs travaillent à un correctif complet, bien qu'elle puisse perturber la disponibilité du site web.

Pour les entreprises de cryptomonnaies, les plateformes d'échange et les fournisseurs de portefeuilles exploitant une infrastructure basée sur PHP, les mêmes principes de préparation s'appliquent. Tout service concerné pourrait faire face à des risques de sécurité si les administrateurs retardent la remédiation après la disponibilité des correctifs. La priorité immédiate est la préparation, suivie d'un patching rapide et d'une surveillance continue.

Jusqu'à l'arrivée de la mise à jour de sécurité et la divulgation de ses détails techniques, les administrateurs doivent suivre les recommandations officielles de la PHP Foundation et du NCSC plutôt que de présumer quels systèmes sont vulnérables.

Cet article est fondé sur un reportage de Blockonomi.