Failles critiques PHP CVE-2026-109618 : des milliers de sites en maintenance urgence

Le 21 octobre 2026, deux failles PHP critiques notees 9.2/10 ont force des milliers de sites en maintenance urgence. WordPress, WooCommerce, Magento touches. Les actions immediates pour proteger votre infrastructure.

Le 21 octobre 2026, des milliers de sites web ont été contraints à une maintenance d urgence. La cause : deux failles critiques découvertes dans PHP, le langage qui fait tourner WordPress, WooCommerce, Magento et la quasi-totalité des back-offices du web.

Les premières attaques automatisées ont démarré quinze minutes seulement après la publication du correctif officiel.

Deux failles critiques au cœur de PHP

Les vulnérabilités portent les références CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 sur l échelle CVSS v4.0. Il s agit de failles RCE (Remote Code Execution) : une simple requête web suffit à faire exécuter n importe quelle commande sur le serveur cible.

L affaire a commencé le 20 octobre avec la fuite d un outil d attaque baptisé PHP2Shell. La société watchTowr a confirmé les failles réelles. Le correctif a été publié le 21 octobre à 16h00.

⚠️ Toutes les versions depuis PHP 5.4 concernées
Seules les branches PHP 8.2 et supérieures ont reçu un correctif officiel. Les versions 8.1, 7.4 et antérieures n ont pas de patch.

Pourquoi votre site d entreprise est directement concerné

🌐
WordPress, WooCommerce, Magento tous en PHP. Si votre site vitrine ou boutique tourne sur ces CMS, il est potentiellement exposé.
💳
Injection de faux formulaires de paiement. Un attaquant peut remplacer vos formulaires par des copies frauduleuses sur votre propre domaine avec votre certificat SSL.
📋
Vol de données clients. Coordonnées, emails, numéros collectés via vos formulaires peuvent être interceptés en temps réel.
🔍
Déréférencement Google. Un site compromis peut être blacklisté par Google en quelques heures.

Les 5 actions immédiates

  1. Vérifier la version PHP de votre serveur via votre panel ou SSH avec php -v
  2. Mettre à jour PHP vers 8.2 minimum : seule version avec correctif officiel
  3. Si mise à jour impossible immédiatement : isoler du réseau public les applications exposées
  4. Surveiller vos processus serveur : toute exécution anormale de shell par php-fpm est suspect
  5. Activer les alertes Wordfence pour détecter toute tentative d exploitation
⚠️ Un pare-feu seul ne suffit pas
Ces failles ciblent PHP lui-même, en amont de votre application. La mise à jour reste la seule parade définitive.

Le contexte : une semaine noire

Cet incident survient quatre jours après la vague de cyberattaques du 17 octobre 2026 touchant plusieurs millions de Français. Les attaques se professionnalisent et s accélèrent.

Pour les PME : maintenir PHP, WordPress et les plugins à jour n est plus optionnel, c est la première ligne de défense.

Votre infrastructure PHP est-elle à jour ?

ASCOËT Technologies vérifie la version PHP de vos serveurs et effectue la mise à jour en toute sécurité sous 24h.