Questions fréquentes
Quelles versions de PHP sont concernées ?
Toutes les versions antérieures à 8.5.12, 8.4.27, 8.3.36 et 8.2.35 dans les branches prises en charge. PHP 8.1 et les versions plus anciennes sont en fin de vie et ne reçoivent aucune version du projet PHP ; considérez-les comme concernées, sauf si votre éditeur confirme un correctif rétroporté.
Mon site n’affiche pas de version de PHP. Suis-je protégé ?
Pas nécessairement. Masquer la version (expose_php = Off) est une bonne pratique, mais ne corrige rien. Vérifiez sur le serveur avec php -v ou interrogez votre fournisseur.
L’outil affiche une ancienne version, mais mon hébergeur affirme qu’elle est corrigée. Qui a raison ?
Peut-être les deux. Les distributions Linux comme Debian, Ubuntu et RHEL rétroportent souvent les correctifs de sécurité sans changer le numéro de version. Demandez à votre hébergeur quel build de paquet est installé et si son changelog mentionne CVE-2026-109618 et CVE-2026-109619.
WordPress, Laravel ou mon CMS sont-ils concernés ?
Les failles se trouvent dans PHP lui-même : toute application qui tourne sur un PHP concerné est donc exposée. Les chercheurs ont démontré des attaques sans authentification contre WordPress, Drupal et Joomla, mais ce n’étaient que des exemples — même une simple page « Hello World » suffit. Mettre à jour WordPress ou les extensions ne corrige rien ; c’est PHP qui doit être mis à jour.
Des données peuvent-elles fuiter même si aucun code n’a été exécuté ?
Oui. CVE-2026-109619 peut divulguer la mémoire du processus PHP — mots de passe, jetons de session, clés d’API et certificats provenant d’autres requêtes — sans que l’attaquant exécute de code. De telles fuites ne laissent aucun fichier et sont difficiles à détecter : changez donc les secrets de tout site ayant fonctionné avec une version concernée sur Internet.
Désactiver session.upload_progress règle-t-il le problème ?
Non. php.net cite session.upload_progress.enabled=0 comme mesure d’atténuation partielle pour certains vecteurs confirmés de CVE-2026-109619. Elle ne couvre pas toutes les variantes et n’a aucun effet sur CVE-2026-109618.
Un pare-feu applicatif web suffit-il ?
Un WAF ou des limites de requêtes peuvent réduire l’exposition le temps de la mise à jour, mais les problèmes tiennent à la façon dont PHP gère les requêtes et la mémoire. La mise à jour reste indispensable.
Dois-je redémarrer quelque chose après la mise à jour ?
Oui. PHP-FPM, Apache, LiteSpeed et les workers de longue durée continuent d’exécuter l’ancien code tant qu’ils ne sont pas redémarrés. Les conteneurs doivent être recréés à partir de la nouvelle image.
Que fait concrètement cet outil ?
Il envoie une requête HEAD (ou GET si HEAD n’est pas autorisé) à l’adresse saisie, suit jusqu’à trois redirections et lit des en-têtes de réponse tels que X-Powered-By et Server. Il n’envoie jamais de charge d’exploitation, de requêtes volumineuses ni de téléversements, et n’analyse pas d’autres chemins.
Est-il légal de vérifier n’importe quel site ?
Ne vérifiez que des sites qui vous appartiennent ou que vous êtes autorisé à évaluer. La requête est identique à une visite normale, mais l’usage responsable relève de votre responsabilité. Nous limitons les vérifications par réseau et par site.
PHP 8.5.12 a-t-il été entièrement corrigé ?
Des signalements d’un plantage dans 8.5.12 ont circulé le 22 octobre 2026, mais ils n’ont pas été confirmés comme une vulnérabilité exploitable à distance. Nous suivons php.net ; si une nouvelle version paraît, ce site sera mis à jour et la date de « dernière vérification » changera.
Où lire les informations officielles ?
Sur php.net et dans les avis GitHub du projet PHP GHSA-w8hw-w9fx-j79w et GHSA-6wmf-4rv5-p3rp. L’équipe de recherche (Wiz Research, OpenAI Codex Security et Calif) a publié ses travaux sur php2shell.com.
Qui a découvert les vulnérabilités ?
Des chercheurs de Wiz Research, OpenAI Codex Security et Calif, dans le cadre d’une divulgation coordonnée avec l’équipe de sécurité de PHP, qui a préparé les correctifs. Voir l’article de The PHP Foundation sur cette version.