Deux vuln\u00e9rabilit\u00e9s critiques (CVE-2026-109618 et CVE-2026-109619) ont \u00e9t\u00e9 confirm\u00e9es dans le langage PHP, mena\u00e7ant la s\u00e9curit\u00e9 de millions de sites web. Une mise \u00e0 jour de s\u00e9curit\u00e9 est pr\u00e9vue le 21 octobre 2026 \u00e0 14h UTC, mais des attaques ont d\u00e9j\u00e0 \u00e9t\u00e9 d\u00e9tect\u00e9es par Cloudflare. Plusieurs organisations, dont la CNIL et le NCSC, ont mis leurs sites en maintenance par pr\u00e9caution. Le CERT-EU recommande une mise \u00e0 jour imm\u00e9diate ou l’isolement des syst\u00e8mes vuln\u00e9rables.<\/p>\n
PHP, utilis\u00e9 par plus de 40 % des sites web via WordPress, est un pilier de l’\u00e9cosyst\u00e8me num\u00e9rique. Les failles, class\u00e9es CVSSv4 9.2, permettent potentiellement des attaques d’escalade de privil\u00e8ges ou d’ex\u00e9cution de code \u00e0 distance. Cloudflare a d\u00e9ploy\u00e9 des r\u00e8gles temporaires de protection, mais les administrateurs sont invit\u00e9s \u00e0 appliquer le correctif d\u00e8s sa publication.<\/p>\n
La CNIL a mis ses sites en maintenance sans officialiser le lien avec les failles, tandis que le NCSC n\u00e9erlandais a interrompu son site pour pr\u00e9caution. EA SPORTS FC a \u00e9galement annonc\u00e9 des interruptions de services en ligne. Le CERT-EU pr\u00e9conise de suspendre les syst\u00e8mes non mis \u00e0 jour pour \u00e9viter les risques. Les d\u00e9veloppeurs doivent surveiller les canaux officiels de PHP pour obtenir le correctif et les instructions de d\u00e9ploiement.<\/p>\n
Cette vuln\u00e9rabilit\u00e9 souligne la d\u00e9pendance critique du web \u00e0 des infrastructures logicielles partag\u00e9es. Les cons\u00e9quences pour les entreprises d\u00e9pendent de leur capacit\u00e9 \u00e0 r\u00e9agir rapidement. Les attaques en cours, m\u00eame limit\u00e9es, illustrent la n\u00e9cessit\u00e9 d’une coordination internationale pour att\u00e9nuer les impacts.<\/p>\n