Le CERT-FR alerte sur plusieurs vulnérabilités de PHP, le langage utilisé pour faire fonctionner des sites et applications web. Selon son avis du 21 octobre 2026, ces failles peuvent permettre à un attaquant d’exécuter du code à distance, c’est-à-dire de faire lancer ses propres instructions sur un système vulnérable. Pour les responsables de sites, la décision à prendre est de vérifier la version utilisée et le correctif applicable.
Quatre seuils à comparer à la version utilisée
Pour les branches récentes, qui correspondent aux grandes familles de versions de PHP, le CERT-FR vise les versions antérieures à 8.2.35 pour PHP 8.2, à 8.3.36 pour PHP 8.3, à 8.4.27 pour PHP 8.4 et à 8.5.12 pour PHP 8.5. L’avis inclut aussi les anciennes branches PHP 5.x, 7.x, 8.0.x et 8.1.x.
Ces numéros délimitent le périmètre du bulletin ; ils ne suffisent pas à établir le statut d’un hébergement particulier. Pour votre site, demandez au fournisseur quelle version est exécutée et quel correctif couvre cette alerte. Si vous administrez directement le serveur, confrontez votre installation aux recommandations officielles avant de choisir la mise à jour.
Le bulletin PHP reste la référence pour agir
Le CERT-FR renvoie aux bulletins de sécurité du projet PHP pour obtenir les correctifs. Consultez les recommandations actuelles du projet et les informations de votre fournisseur : le numéro affiché dans un outil d’administration doit être rapproché du correctif effectivement fourni.
L’enjeu est concret pour les administrateurs et les développeurs : identifier l’installation concernée, obtenir le correctif adapté, puis confirmer son application. L’avis CERTFR-2026-AVI-1359, publié et mis à jour le 21 octobre, établit le risque et les versions visées ; il ne constitue pas un diagnostic individuel de votre site.
Sources de référence
À retenir
L’avis CERTFR-2026-AVI-1359 du 21 octobre 2026 signale des vulnérabilités PHP pouvant permettre une exécution de code à distance. Il vise notamment les versions antérieures à 8.2.35, 8.3.36, 8.4.27 et 8.5.12 dans leurs branches respectives. Les responsables de sites doivent consulter les bulletins PHP et leur fournisseur pour déterminer le correctif applicable.
