Des attaques ont commencé avant même la publication des correctifs d’urgence. Les serveurs impossibles à sécuriser rapidement pourraient devoir être retirés temporairement du réseau public.
L’équipe de développement de PHP prépare des mises à jour pour CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités créditées d’un score de criticité CVSS v4.0 de 9,2 sur 10. Leur diffusion est prévue le 21 octobre à 14 h UTC.
Deux failles PHP susceptibles d’autoriser une exécution de code à distance
Le CERT-EU estime que ces défauts pourraient permettre une exécution de code à distance sans authentification. Un attaquant serait ainsi en mesure de lancer du code arbitraire sur un serveur vulnérable, sans disposer au préalable d’identifiants valides.
Les conséquences possibles vont du vol de données à la modification de sites, en passant par l’accès illégitime à des systèmes sensibles et la compromission complète du serveur. Les détails techniques et la liste définitive des branches concernées n’ont toutefois pas encore été publiés par l’équipe PHP.
Le périmètre potentiel remonterait jusqu’à PHP 5. Cette ancienneté complique la réponse pour les entreprises qui exploitent encore des applications dépendantes de versions obsolètes et désormais privées de maintenance officielle.
WordPress, Drupal, Joomla et Magento dans le périmètre
PHP reste au cœur d’une part considérable du Web. WordPress, Drupal, Joomla et Magento, mais aussi de nombreuses applications métier, plateformes d’hébergement et interfaces d’administration, reposent sur cet environnement côté serveur.
La présence de PHP ne signifie pas automatiquement qu’un site est exploitable : la version installée, sa configuration et son exposition comptent. L’ampleur de son déploiement suffit néanmoins à donner à ces vulnérabilités une surface d’attaque potentiellement massive.
Mettre à jour WordPress ne corrigera pas PHP
Wordfence souligne une distinction importante pour les administrateurs de sites : la mise à jour automatique de WordPress ne remplacera pas celle de l’interpréteur PHP sous-jacent. Le correctif devra être installé par l’hébergeur ou par l’administrateur du serveur.
Les exploitants doivent donc inventorier les versions en production et vérifier directement auprès de leur fournisseur quand les paquets corrigés seront disponibles. Les installations anciennes et non prises en charge risquent de nécessiter une migration plutôt qu’une simple mise à jour de sécurité.
Des attaques observées, l’isolement recommandé en dernier recours
Le directeur technique de Cloudflare, Dane Knecht, indique que l’entreprise observe déjà de premières attaques. Cloudflare déploie de nouvelles règles pour son pare-feu applicatif Web, ou WAF, afin de bloquer les méthodes d’exploitation émergentes.
Ces protections ne constituent qu’une mesure temporaire et ne remplacent pas les mises à jour de PHP. La société de cybersécurité Patchstack rapporte également avoir reçu, de plusieurs partenaires spécialisés dans l’hébergement, des signalements faisant état d’exploitations actives.
Le CERT-EU demande aux organisations d’identifier sans délai leurs systèmes vulnérables et de préparer le déploiement des correctifs. Lorsque cette opération ne peut pas être réalisée immédiatement, l’agence recommande d’envisager l’isolement temporaire des sites et applications concernés hors des réseaux publics.
La priorité opérationnelle se situe donc au niveau de l’infrastructure, pas seulement du CMS. Dans les environnements mutualisés ou anciens, la fenêtre entre la divulgation, l’exploitation automatisée et la disponibilité effective des paquets corrigés sera déterminante.
Source : Wccftech
