--- title: "Failles critiques PHP : votre site est-il protégé ? | Webdesign29" description: Deux failles critiques peuvent permettre d'exécuter du code sur un serveur PHP sans authentification. Votre site est-il corrigé ? Les points à vérifier. url: https://www.webdesign29.net/actualites/securite-php-sites-clients-patches lang: fr --- # Failles critiques PHP : votre site est-il protégé ? | Webdesign29 Développement Web Par l'équipe Webdesign29 21 octobre 2026 6 min de lecture # Failles critiques PHP : votre site est-il protégé ? Deux failles critiques peuvent permettre d'exécuter du code sur un serveur PHP sans authentification. Votre site est-il corrigé ? Les points à vérifier. ![Failles critiques PHP : votre site est-il protégé ?](https://www.webdesign29.net/blog/visuals/failles-php-octobre-2026.png) Sommaire 6 parties · 6 min **Un attaquant n'a pas toujours besoin du mot de passe de votre site pour le compromettre.** Les deux failles critiques révélées dans PHP le 21 octobre 2026 rappellent pourquoi la sécurité commence aussi dans le moteur qui fait fonctionner vos pages. Si votre entreprise utilise un site WordPress, une boutique PrestaShop ou une autre application PHP, cette alerte mérite une vérification auprès de votre hébergeur. Voici ce que les vulnérabilités permettent, les versions qui les corrigent et les questions à poser pour savoir si votre site a été pris en charge. ## 1. Pourquoi cette alerte PHP est-elle importante ? Après une annonce préalable le 20 octobre, PHP a publié ses correctifs le 21 octobre 2026. Les deux failles, notées 9,2 sur 10 selon CVSS v4.0, peuvent permettre une exécution de code à distance sans authentification. Les installations qui traitent des requêtes web sont concernées, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le niveau de risque varie selon l'environnement. Pour une entreprise, une vulnérabilité ne signifie pas automatiquement qu'un site a été piraté. Elle indique qu'un défaut doit être corrigé avant qu'un attaquant puisse en tirer parti. L'annonce d'un correctif est un signal d'action, pas une preuve d'intrusion sur chaque site. Un formulaire qui répond et un catalogue qui s'affiche ne permettent pas de conclure que l'environnement technique est à jour. La vérification doit porter sur le logiciel réellement utilisé pour servir le site. ## 2. Deux vulnérabilités PHP liées à la gestion de la mémoire ### CVE-2026-109618 : une erreur lors d'un manque de mémoire La première faille concerne la manière dont PHP interrompt une requête lorsqu'une allocation mémoire échoue. Certaines données internes peuvent rester dans un état incomplet, puis être utilisées au moment du nettoyage. L'avis décrit un chemin pouvant mener à l'exécution de code, avant même le démarrage du code du site dans certains environnements Apache mod_php. [Voir l'avis technique de PHP.](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) ### CVE-2026-109619 : des références conservées entre deux requêtes La seconde faille vient d'un état interne conservé par un processus PHP alors que la mémoire correspondante a déjà été libérée. Une requête suivante peut réutiliser cette référence devenue invalide. Des opérations liées aux erreurs ou aux sessions peuvent intervenir avant la réinitialisation normale. L'exploitation dépend des conditions rencontrées ; le correctif traite ce défaut de cycle de vie de la mémoire. [Consulter le second avis technique.](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) Ces références CVE permettent de poser une question précise à son prestataire : « Les correctifs pour ces deux vulnérabilités sont-ils appliqués sur l'environnement de mon site ? » C'est plus utile qu'une simple demande pour savoir si le site est « sécurisé ». ## 3. Quelle mise à jour de sécurité PHP installer ? | Branche PHP | Version corrective | | PHP 8.2 | 8.2.35 | | PHP 8.3 | 8.3.36 | | PHP 8.4 | 8.4.27 | | PHP 8.5 | 8.5.12 | | --- | --- | Certains fournisseurs intègrent les correctifs dans leurs propres paquets sans reprendre exactement cette numérotation : ce sont des correctifs rétroportés. L'hébergeur doit alors confirmer leur présence dans le paquet installé. Pour les anciennes branches, il faut vérifier l'existence d'un support adapté ou prévoir une migration. ## 4. Comment sécuriser son site WordPress ou PrestaShop après l’alerte PHP ? Pour sécuriser un site WordPress ou PrestaShop après cette alerte, il faut faire appliquer les correctifs PHP sur son hébergement. Mettre à jour le CMS et ses extensions reste nécessaire à son suivi, mais ne remplace pas cette intervention sur le serveur. Un site repose sur plusieurs couches : son contenu et son thème, ses extensions, son CMS, puis les logiciels du serveur. Une action réalisée dans l'administration WordPress ou PrestaShop ne met pas nécessairement à jour cette dernière couche. Voici comment vérifier sa version PHP et la prise en charge de la faille de sécurité. 1. **Identifier l'environnement du site**Demandez quelle version de PHP sert les pages publiques. Un hébergement peut proposer plusieurs versions pour plusieurs sites. 2. **Obtenir une confirmation du correctif**Faites confirmer la prise en charge des deux références CVE par la personne qui gère le serveur, avec une version ou une référence de paquet. 3. **Vérifier les usages importants**Après une intervention, contrôlez les pages, les formulaires et, pour une boutique, le parcours de commande. La correction et le bon fonctionnement doivent aller ensemble. Une sauvegarde permet de restaurer un service en cas de problème. Elle ne remplace pas la correction : remettre en ligne une copie utilisant le même environnement vulnérable laisse la question technique ouverte. ## 5. Corriger dans la journée : la valeur du suivi technique Basée à Brest, Webdesign29 accompagne les entreprises dans la [maintenance de leur site internet](https://www.webdesign29.net/services/maintenance-sites-web) et la gestion de leur [hébergement web](https://www.webdesign29.net/services/hebergement-web). Pour une entreprise qui utilise WordPress ou PrestaShop, le suivi doit couvrir à la fois le site et son environnement technique. **Chez Webdesign29, tous les sites de nos clients ont été patchés dans la journée du 21 octobre.** C'est là que la maintenance prend une valeur concrète : transformer une alerte en intervention, sans laisser chaque client chercher seul les conséquences pour son activité. Une fermeture temporaire peut être nécessaire lorsqu'un correctif ne peut pas être appliqué immédiatement. Elle reste une mesure d'attente. Le but est de corriger l'environnement et de permettre au site de remplir son rôle : présenter une entreprise, recevoir des demandes ou vendre en ligne. Lors du choix d'un hébergement ou d'une agence, demandez qui suit les alertes, qui prend en charge les mises à jour du serveur et comment vous êtes informé des interventions. Ces questions comptent autant que les fonctionnalités visibles du site. Vous recherchez un hébergement web avec maintenance ou une intervention de sécurité sur votre site ? [Expliquez-nous votre situation](https://www.webdesign29.net/contact) : nous pourrons préciser les besoins de prise en charge, qu'il s'agisse d'une mise à jour PHP ou du suivi régulier de votre site internet. ## Sources et informations à jour Article du 21 octobre 2026. Sources : [annonces officielles de PHP](https://www.php.net/archive/2026.php), avis techniques associés aux deux CVE et [politique de support des versions PHP](https://www.php.net/supported-versions.php). Les versions mentionnées correspondent aux correctifs de cette alerte ; les prochaines mises à jour restent à suivre. [Toutes les actualités](https://www.webdesign29.net/actualites)[Demander un devis](https://www.webdesign29.net/devis) ** À lire aussi ## Ces articles peuvent vous intéresser [https://www.webdesign29.net/actualites/inklura-sync-connecteur-woocommerce-prestashop ![Inklura Sync : synchroniser une boutique WooCommerce et une boutique PrestaShop](https://www.webdesign29.net/blog/visuals/inklura-sync-woocommerce-prestashop.png) Développement Web·22 septembre 2026 ### Inklura Sync : synchroniser une boutique WooCommerce et une boutique PrestaShop Inklura Sync synchronise catalogue, stocks, commandes et clients entre WooCommerce et PrestaShop, sans intermédiaire. En vente sur plugins.inklura.fr. Lire [https://www.webdesign29.net/actualites/woocommerce-ou-prestashop-pourquoi-wordpress ![WooCommerce ou PrestaShop : pourquoi nous préférons WordPress](https://www.webdesign29.net/blog/visuals/woocommerce-ou-prestashop.png) Développement Web·17 septembre 2026 ### WooCommerce ou PrestaShop : pourquoi nous préférons WordPress Les deux sont libres et gratuits. Pourquoi nous conseillons WordPress et WooCommerce pour votre boutique en ligne : extensions, design, contenu et évolutions dans la durée. Lire [https://www.webdesign29.net/actualites/bext-moteur-applications-rust ![bext : un moteur web en Rust pour vos applications TypeScript](https://www.webdesign29.net/blog/visuals/bext-architecture.png) Développement Web·6 septembre 2026 ### bext : un moteur web en Rust pour vos applications TypeScript Découvrez bext et PRISM : moteur web en Rust, rendu serveur et cache. Modifiez un composant TypeScript dans notre démo interactive. Lire