Alerte cyber pour PME suisses sur les failles PHP CVE-2026-109618 et CVE-2026-109619 activement exploitées

Alerte cyber pour PME suisses : sites web d’entreprise – failles PHP activement exploitées

il y a 16 heures

2 min de lecture

Selon Amazon, deux failles critiques de PHP sont déjà activement exploitées. PHP fonctionne en arrière-plan de nombreux sites d’entreprise, sites WordPress et boutiques en ligne ; des attaquants peuvent faire exécuter du code par un serveur vulnérable sans s’authentifier. Si votre entreprise exploite un site web ou une boutique en ligne, demandez dès maintenant à votre prestataire web ou informatique de mettre PHP à jour et de rechercher des traces de compromission depuis le 17 octobre 2026.

Que s’est-il passé ?

Le projet PHP a publié le 21 octobre 2026 des mises à jour d’urgence pour CVE-2026-109618 et CVE-2026-109619. Les deux failles touchent les installations PHP qui traitent des requêtes web. Une attaque réussie peut exécuter du code avec les droits du processus PHP ; CVE-2026-109619 peut aussi divulguer du contenu en mémoire. Amazon a observé une première tentative le 17 octobre et indique désormais que ces failles sont largement exploitées dans la nature.

Mon entreprise pourrait-elle être concernée ?

Oui, si un site public, un portail client ou une boutique en ligne fonctionne avec PHP, sur votre serveur ou chez un hébergeur ou prestataire web. WordPress, WooCommerce, Drupal, Joomla et Magento reposent souvent sur PHP. Il faut vérifier la version de PHP du serveur web sous-jacent.

Que devez-vous faire maintenant ?

Demandez aujourd’hui à votre prestataire web ou informatique d’effectuer ces actions :

• Recenser tous les systèmes PHP et forfaits d’hébergement accessibles depuis Internet.

• Passer à PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou à un paquet dont le correctif de l’éditeur du système d’exploitation ou de l’hébergeur est attesté.

• Examiner les journaux des serveurs web, les processus inattendus et les modifications de fichiers afin de détecter une éventuelle compromission au moins depuis le 17 octobre 2026.

PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour régulières du projet PHP. Le prestataire doit confirmer si un correctif rétroporté existe ou si une mise à niveau est nécessaire.

Quel est le degré d’urgence ?

Très urgent. Les attaques ne nécessitent aucune authentification, des exploits fonctionnels sont apparus dès la publication des mises à jour et de simples changements de configuration n’offrent pas une protection complète. Les systèmes exposés à Internet doivent être contrôlés dans les heures qui viennent, et non dans quelques semaines.

Informations pour votre prestataire informatique

CVE-2026-109618 : exécution de code à distance via une corruption de mémoire lors d’un épuisement de mémoire. CVE-2026-109619 : exécution de code à distance via un état global obsolète ou un use-after-free ; une divulgation de mémoire est également possible.

Les piles PHP concernées comprennent PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed. Versions amont corrigées : PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35. Pour les distributions ou offres LTS, vérifiez le correctif effectivement rétroporté par le fournisseur.

Recherche de menaces depuis le 17 octobre 2026 : contrôler les requêtes POST contenant PHP_SESSION_UPLOAD_PROGRESS, les processus enfants suspects du serveur web et les modifications de fichiers inattendues.

Indicateurs AWS : 103.216.220.92, 31.223.184.166, 37.19.200.5, 134.209.159.64, 103.114.163.188, 95.217.98.37. Certaines adresses pouvant appartenir à des services d’anonymisation partagés, elles servent de pistes d’investigation et non de liste de blocage autonome.

Sources officielles

Projet PHP : https://www.php.net/archive/2026.php

AWS Security Blog : https://aws.amazon.com/blogs/security/php-vulnerabilities-cve-2026-109618-and-cve-2026-109619/