L’équipe de développement de PHP vient de publier en urgence les correctifs PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 concernant deux vulnérabilités critiques évaluées à 9,2/10 sur l’échelle CVSS : CVE-2026-109618 et CVE-2026-109619.
Pour rappel, PHP est un langage qui alimente une grande partie du Web ainsi que de nombreuses plateformes telles que WordPress, Drupal, Joomla ou Magento. 70% des sites web dans le monde seraient concernés.
Les deux failles identifiées permettent d’exécuter du code malveillant à distance sans nécessité de s’authentifier. Le CERT-EU appelle les organisations à installer les correctifs au plus vite. Il recommande également aux sites qui ne seraient pas en mesure d’appliquer rapidement ces mises à jour d’envisager une mise hors ligne temporaire.
Les premiers signes d’exploitation malveillante auraient déjà été observés, selon ESET. L’exploitation de ces vulnérabilités pourrait entraîner le vol de données, la modification malveillante de sites web ou la compromission complète des serveurs.
D’autres acteurs de la cybersécurité comme Sophos insistent également sur l’importance d’identifier et de sécuriser les systèmes potentiellement vulnérables. Don Smith, VP Threat Intelligence au sein de la Sophos Counter Threat Unit, commente : « Le défi ne consiste pas simplement à installer un correctif mais à identifier tous les environnements dans lesquels PHP est utilisé, parfois à l’insu même des organisations. Les équipes de sécurité doivent prioriser les systèmes exposés à Internet, identifier les versions vulnérables et appliquer les correctifs sans délai. Les systèmes ne pouvant être corrigés doivent être isolés. Les cybercriminels agissent rapidement, notamment avec l’aide de l’IA. Une surveillance renforcée des serveurs web est donc essentielle pour détecter toute activité suspecte ou signe de compromission ».
