« Faille PHP, que faire ? » C’est la question que se posent beaucoup de dirigeants depuis mercredi. Le 21 octobre 2026, plusieurs sites publics, dont ceux des préfectures, ont basculé hors ligne ou en maintenance. Pour les préfectures, le ministère de l’Intérieur a agi à la demande de l’ANSSI, par précaution : personne n’avait annoncé d’intrusion. Mais quand l’État préfère couper ses sites plutôt que de prendre le risque, tout le monde doit vérifier les siens.
Pourquoi cette faille PHP inquiète autant
Deux failles critiques, CVE-2026-109618 et CVE-2026-109619, ont reçu la note de 9,2 sur 10. Un attaquant peut exécuter du code sur le serveur avec une simple requête, sans mot de passe. De plus, Cloudflare a observé des tentatives d’attaque avant même la publication du correctif.
Or PHP fait tourner une grande partie du web : sites vitrines, boutiques en ligne, applications métier. Résultat, beaucoup d’entreprises ignorent que leur site présente cette faille.
Ce qui aggrave la situation
D’abord, les vieux sites oubliés. Le CERT-FR rappelle que le projet PHP ne maintient plus aucune version jusqu’à la 8.1. Pour elles, il n’existe pas de mise à jour officielle classique.
Ensuite, le réflexe « le pare-feu nous protège ». Un pare-feu applicatif aide un peu, mais il ne remplace pas la mise à jour. En réalité, la faille touche PHP lui-même.
Enfin, l’application développée il y a des années par un prestataire parti depuis. Personne ne sait quelle version tourne dessous, et personne ne la surveille.
Faille PHP, que faire dès aujourd’hui ?
- Faire l’inventaire de chaque site, application et serveur, y compris les vieux projets que plus personne ne regarde.
- Relever la version exacte de PHP pour chacun.
- Passer à une version corrigée : 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou le correctif de votre hébergeur.
- Isoler, ou couper le temps de le corriger, tout ce qu’on ne peut pas mettre à jour vite. C’est la recommandation du CERT-FR.
- Surveiller les journaux du serveur, car Amazon a observé une première tentative dès le 17 octobre.
Comment Mahé Technologies vous aide
Gestion de projet, développement et tests restent sous un seul interlocuteur : inventaire de ce qui tourne, mise à jour, puis tests avant la remise en ligne.
Quand une application est trop ancienne pour recevoir un correctif, on vous le dit clairement. Ensuite, on construit avec vous un plan pour la faire évoluer sans tout casser.
Un correctif ne protège que les serveurs où quelqu’un l’applique.
Un site ou une application à vérifier ? Parlons-en.
Sources
- CERT-FR, alerte CERTFR-2026-ALE-014 : failles, versions concernées, recommandations (21 octobre 2026).
- Journal du Coin, sites coupés à la demande de l’ANSSI : mise hors ligne des préfectures à la demande de l’ANSSI, précaution, tentatives observées par Cloudflare.
- Actu17, failles critiques dans PHP : déclaration du ministère de l’Intérieur.
- Selectra, direct du 21 octobre : liste des sites publics coupés ou en maintenance.
- Tenable, FAQ sur les deux failles : versions corrigées, note de gravité, première tentative d’attaque observée le 17 octobre.
