Une faille critique vient d’être répertoriée dans PHP, le langage de programmation qui fait tourner une large part des sites et applications web, y compris chez des PME québécoises. Aucune attaque exploitant cette faille n’est signalée pour l’instant, mais la gravité attribuée est très élevée et une vérification rapide s’impose.
C’est quoi ?
PHP, un langage utilisé pour faire fonctionner des sites web, contient une erreur de gestion de la mémoire qui pourrait permettre à quelqu’un de prendre le contrôle d’un serveur à distance.
Selon la fiche officielle de la National Vulnerability Database (NVD), identifiée CVE-2026-109618, l’erreur survient quand PHP manque de mémoire pendant le traitement d’une requête. Dans certaines situations, le programme ne nettoie pas correctement cette mémoire avant de la réutiliser, ce qui peut permettre l’exécution de code à distance, c’est-à-dire qu’une personne mal intentionnée exécute ses propres instructions sur un serveur qui ne lui appartient pas. On peut comparer ça à une porte de garage qu’on croit verrouillée, mais dont le mécanisme reste coincé entrouvert dans certaines conditions : tant que personne ne pousse au bon moment, rien ne se passe, mais la faiblesse est bien là.
Pourquoi c’est grave ?
La fiche NVD attribue à cette faille un score de 9,8 sur 10, soit l’un des niveaux les plus élevés possibles. Aucune exploitation n’est signalée à ce jour.
Un score de 9,8 sur 10 selon la fiche NVD place cette vulnérabilité parmi les plus sérieuses qu’on puisse rencontrer : elle serait facile à déclencher et aux conséquences importantes. Pour une entreprise, une prise de contrôle d’un serveur web peut mener à un arrêt du site ou de l’application, à une fuite de renseignements de clients, ou à une porte d’entrée pour d’autres fraudes. Le Centre canadien pour la cybersécurité a jugé la situation suffisamment préoccupante pour publier l’avis AL26-026 à ce sujet, avec une mise à jour le 23 octobre 2026.
Ça touche qui ?
Toute organisation dont un site web ou une application repose sur PHP, peu importe sa taille.
Le produit visé est PHP, développé par le PHP Group. Les versions précises touchées et la version corrigée ne sont pas précisées dans les fiches consultées pour cet article ; il faut donc se référer à l’avis AL26-026 du Centre canadien pour la cybersécurité pour les confirmer. PHP est très répandu : boutiques en ligne, sites vitrines, systèmes de prise de rendez-vous, portails clients. Beaucoup de PME québécoises l’utilisent sans le savoir, parce que leur hébergeur ou leur plateforme web s’en occupe en arrière-plan, un peu comme on ne pense jamais à la fournaise tant qu’elle chauffe la maison.
Comment vérifier dans mon entreprise ?
Quatre vérifications simples permettent de savoir si votre entreprise est concernée.
- La direction demande à son hébergeur ou à son développeur si le site ou l’application de l’entreprise utilise PHP, et quelle version.
- Le prestataire informatique consulte l’avis AL26-026 du Centre canadien pour la cybersécurité pour confirmer les versions touchées et la version corrigée.
- Le prestataire informatique ou le fournisseur du logiciel fournit un plan écrit de mise à jour, avec une date et un responsable.
- La direction s’assure qu’une sauvegarde complète existe et peut être restaurée avant toute mise à jour.
Mise en situation
Exemple fictif : une clinique dentaire québécoise dont le site permet de prendre rendez-vous en ligne.
La clinique utilise une version vieillissante de PHP sur son site, géré par un prestataire externe qui n’a pas encore appliqué le correctif. Un matin, le site devient inaccessible et le système de prise de rendez-vous tombe en panne. Le personnel doit revenir au téléphone pour toute la journée, prévenir les patients des changements d’horaire, et reporter certains rendez-vous. Le prestataire doit d’abord confirmer l’origine du problème avant de pouvoir remettre le site en ligne, ce qui retarde le retour à la normale.
Quoi faire maintenant
- Identifier la version de PHP utilisée sur tous les sites, applications et serveurs de l’entreprise.
- Consulter l’avis AL26-026 du Centre canadien pour la cybersécurité pour confirmer les versions touchées et la version corrigée.
- Demander un plan de mise à jour écrit à l’hébergeur ou au développeur, avec une date précise et un responsable nommé.
- Effectuer une sauvegarde complète avant toute mise à jour et vérifier qu’elle peut être restaurée.
- Appliquer la correction dès qu’elle est disponible, en priorisant les sites accessibles depuis Internet.
FAQ
Mon entreprise n’a pas de site web, suis-je concerné?
Si votre entreprise n’utilise aucun système web reposant sur PHP, ni directement ni par l’intermédiaire d’un fournisseur ou d’une plateforme externe, ce risque précis ne vous touche pas. Vérifiez quand même avec vos prestataires, car plusieurs outils de gestion, de facturation ou de prise de rendez-vous en ligne reposent sur PHP sans que ce soit visible pour vous.
Faut-il paniquer puisque le score est si élevé?
Non. Aucune exploitation n’est signalée à ce jour selon la fiche NVD, ce qui veut dire que personne n’a encore observé d’attaque confirmée. Le score élevé signale plutôt qu’il faut agir avec diligence et ne pas attendre, pas qu’une attaque est en cours. Une vérification rapide auprès de votre hébergeur suffit généralement à ramener la situation sous contrôle.
Qui doit s’occuper de ça dans mon entreprise?
Généralement, c’est votre hébergeur web, votre développeur ou votre fournisseur de plateforme qui applique les mises à jour de PHP, puisqu’ils gèrent l’infrastructure technique. La direction a tout de même un rôle : demander une confirmation écrite que la vérification a été faite et qu’un plan existe. Il n’existe pas de protection absolue, mais une mise à jour rapide réduit fortement l’exposition.
Sources
- Fiche CVE-2026-109618 de la National Vulnerability Database · NIST, 21 octobre 2026
- Centre canadien pour la cybersécurité : AL26-026 – Vulnérabilités critiques touchant PHP – CVE-2026-109618 et CVE-2026-109619 – Mise à jour 1 · Centre canadien pour la cybersécurité, 23 octobre 2026
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-109618
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
