Failles PHP critiques : mise en maintenance de sites web en raison des vulnérabilités

Deux vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619) ont été confirmées dans le langage PHP, menaçant la sécurité de millions de sites web. Une mise à jour de sécurité est prévue le 21 octobre 2026 à 14h UTC, mais des attaques ont déjà été détectées par Cloudflare. Plusieurs organisations, dont la CNIL et le NCSC, ont mis leurs sites en maintenance par précaution. Le CERT-EU recommande une mise à jour immédiate ou l’isolement des systèmes vulnérables.

PHP, utilisé par plus de 40 % des sites web via WordPress, est un pilier de l’écosystème numérique. Les failles, classées CVSSv4 9.2, permettent potentiellement des attaques d’escalade de privilèges ou d’exécution de code à distance. Cloudflare a déployé des règles temporaires de protection, mais les administrateurs sont invités à appliquer le correctif dès sa publication.

La CNIL a mis ses sites en maintenance sans officialiser le lien avec les failles, tandis que le NCSC néerlandais a interrompu son site pour précaution. EA SPORTS FC a également annoncé des interruptions de services en ligne. Le CERT-EU préconise de suspendre les systèmes non mis à jour pour éviter les risques. Les développeurs doivent surveiller les canaux officiels de PHP pour obtenir le correctif et les instructions de déploiement.

Cette vulnérabilité souligne la dépendance critique du web à des infrastructures logicielles partagées. Les conséquences pour les entreprises dépendent de leur capacité à réagir rapidement. Les attaques en cours, même limitées, illustrent la nécessité d’une coordination internationale pour atténuer les impacts.

Sources

• Source 1

À très vite sur l’EternoStation.