Le langage de programmation PHP, qui fait fonctionner une grande partie des sites web et des boutiques en ligne, est touché par une faille référencée CVE-2026-109619. Aucune attaque exploitant cette faille n’a été signalée pour l’instant, mais un correctif est disponible et devrait être appliqué rapidement.
C’est quoi ?
Une faille dans PHP peut permettre à une personne malveillante de prendre le contrôle à distance d’un serveur web, si le correctif n’est pas installé.
PHP garde temporairement en mémoire certaines informations pendant qu’il traite la demande d’un visiteur sur un site web. Dans certaines situations, cette mémoire n’est pas correctement vidée, ou elle est remplie à nouveau après l’avoir été. Une demande suivante peut alors venir lire ou utiliser ces restes d’information avant qu’ils ne soient réinitialisés correctement, ce qui peut permettre à un attaquant de faire exécuter ses propres commandes sur le serveur. C’est un peu comme fermer le chalet pour l’hiver en pensant avoir verrouillé toutes les fenêtres, mais en en laissant une entrouverte par erreur : tant que personne ne la remarque, le chalet paraît sécurisé, mais la première personne qui la trouve peut entrer sans forcer la porte.
Pourquoi c’est grave ?
Cette faille reçoit une note de 9,2 sur 10, un niveau jugé critique, même si aucune attaque n’a encore été observée.
Ce score de 9,2 sur 10 a été attribué par l’équipe de sécurité de PHP (méthode CVSS 4.0), selon la fiche de la National Vulnerability Database (NVD) ; la NVD, avec l’ancienne méthode CVSS 3.1, l’évalue pour sa part à 8,1 sur 10, un niveau élevé. Le Centre canadien pour la cybersécurité a lui aussi jugé la situation suffisamment sérieuse pour émettre un avis à ce sujet. À ce jour, aucune exploitation de cette faille n’a été signalée dans les fiches officielles. Mais une fois qu’une faille critique est rendue publique, les personnes malveillantes qui surveillent ce genre d’annonce commencent souvent à chercher les serveurs qui n’ont pas encore été corrigés. Pour une entreprise, le risque n’est pas théorique : un serveur compromis peut servir à voler des renseignements, à rendre un site inaccessible, ou à être utilisé comme relais pour d’autres fraudes, sans que l’entreprise s’en rende compte tout de suite.
Ça touche qui ?
Toute organisation dont le site web, sa boutique en ligne ou une application interne repose sur PHP peut être concernée.
PHP est l’un des langages les plus répandus pour faire fonctionner des sites web, qu’il s’agisse d’une simple vitrine ou d’une plateforme de vente plus complexe. Les fiches disponibles ne précisent pas les versions exactes touchées ni la version corrigée ; une PME doit donc vérifier cette information directement auprès de son fournisseur de services web ou de l’éditeur de sa plateforme. Les entreprises les plus exposées sont celles qui font héberger leur site ou leurs applications web, mais qui n’ont pas de prestataire chargé d’appliquer les mises à jour de façon régulière.
Comment vérifier dans mon entreprise ?
Quatre vérifications simples permettent de savoir si votre entreprise est concernée et si elle est protégée.
- Identifier, avec l’aide de la direction, tous les sites web, boutiques en ligne ou outils internes de l’entreprise qui pourraient utiliser PHP.
- Demander au prestataire informatique ou à l’hébergeur quelle version de PHP est utilisée et si le correctif pour cette faille a été appliqué.
- Confirmer auprès du fournisseur du logiciel ou de la plateforme web (boutique en ligne, système de réservation, site vitrine) que la mise à jour a bien été publiée et installée.
- Demander une confirmation écrite une fois la correction appliquée, pour garder une trace de la démarche.
Mise en situation
Exemple fictif : illustration à but pédagogique, sans lien avec un cas réel.
Un garage automobile québécois utilise un système de prise de rendez-vous en ligne construit sur PHP, géré par un prestataire externe. Personne ne vérifie si les mises à jour sont appliquées régulièrement, puisque le site « fonctionne bien ». Quelques semaines après la publication de la faille, le site de réservation devient inaccessible du jour au lendemain. Le garage doit revenir temporairement à la prise de rendez-vous par téléphone, prévenir les clients déjà inscrits que leur rendez-vous doit être reconfirmé, et faire appel à un spécialiste pour vérifier si le serveur a été compromis avant de remettre le site en ligne. Une journée de travail est largement absorbée par cette gestion de crise, sans compter le temps nécessaire pour rassurer les clients.
Quoi faire maintenant
- Dresser la liste des sites et applications web de l’entreprise qui pourraient utiliser PHP.
- Contacter le prestataire informatique ou l’hébergeur pour confirmer l’état des mises à jour.
- Appliquer le correctif disponible dès que le fournisseur le confirme, en priorisant les sites accessibles au public.
- Documenter la date de la mise à jour et conserver la confirmation du fournisseur.
- Revoir, avec le prestataire, la fréquence des mises à jour pour éviter qu’une prochaine faille ne traîne aussi longtemps sans correction.
FAQ
Mon site a été fait par un prestataire externe, suis-je protégé automatiquement ?
Pas nécessairement. Beaucoup de contrats d’hébergement ou de développement web n’incluent pas un suivi automatique des mises à jour de sécurité. Il est préférable de confirmer explicitement avec votre prestataire qu’il surveille ce genre d’alerte et applique les correctifs sans attendre une demande de votre part, plutôt que de présumer que c’est déjà fait.
Dois-je m’inquiéter même si mon entreprise est petite ?
Oui. Les attaquants qui cherchent des serveurs non corrigés le font souvent de façon automatisée, sans viser une entreprise en particulier. La taille de l’entreprise ne la met pas à l’abri ; c’est la présence d’un serveur vulnérable et accessible qui compte, pas la notoriété de l’organisation qui l’utilise.
Existe-t-il une façon de se protéger à 100 % de ce genre de faille ?
Non, il n’existe pas de protection absolue contre les failles informatiques. Appliquer rapidement les correctifs disponibles réduit fortement l’exposition et rend une attaque nettement plus difficile, mais aucun fournisseur ne peut garantir un risque zéro. La vigilance continue reste nécessaire, même après une mise à jour.
Sources
- Fiche CVE-2026-109619 de la National Vulnerability Database · NIST, 21 octobre 2026
- Centre canadien pour la cybersécurité : AL26-026 – Vulnérabilités critiques touchant PHP – CVE-2026-109618 et CVE-2026-109619 – Mise à jour 1 · Centre canadien pour la cybersécurité, 23 octobre 2026
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-109619
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
