Une faille de sécurité dans PHP, le langage qui fait fonctionner une grande partie des sites web et des applications d’affaires, est notée 9,8 sur 10 selon la fiche NVD. Les fiches consultées ne font état d’aucune exploitation à ce jour, mais une démonstration technique est publiquement accessible selon le Centre canadien pour la cybersécurité. Demandez cette semaine à votre hébergeur quelle version de PHP vous utilisez.
C’est quoi ?
La CVE-2026-109618 est un défaut interne de PHP, publié par la NVD le 21 octobre 2026. En cas de manque de mémoire, le serveur (l’ordinateur qui héberge votre site) peut exécuter des instructions venues de l’extérieur.
Selon la fiche NVD, quand PHP arrive au bout de la mémoire disponible, il interrompt brutalement la demande en cours. Le ménage qui suit se fie alors à de la mémoire laissée dans un état indéterminé. C’est un peu comme fermer le chalet en vitesse : on verrouille, mais des papiers restent en désordre sur la table, et le prochain qui arrive s’y fie. Si quelqu’un y a glissé ses consignes, c’est lui qui mène. La NVD évoque ainsi l’exécution de code à distance, soit la capacité de faire tourner ses propres programmes sur votre serveur.
Pourquoi c’est grave ?
Deux notes de gravité très élevées, et un scénario qui va de l’arrêt du service à l’accès aux données de vos clients.
La fiche NVD présente deux évaluations : 9,8 sur 10 en CVSS 3.1, attribuée par le NIST (NVD), et 9,2 sur 10 en CVSS 4.0, attribuée par l’organisme déclarant (CNA). Le CVSS est l’échelle standard de gravité. À ce niveau, la traduction en affaires est simple : site de commande hors service, dossiers clients consultables, accès détournés pour préparer une fraude au virement. Les fiches consultées ne rapportent aucune attaque, et une démonstration diffusée n’en est pas une.
Ça touche qui ?
Toute organisation dont un site ou une application repose sur PHP, publié par PHP Group.
Les versions précisément touchées ne figurent pas dans les faits dont nous disposons, et aucune version corrigée n’y est indiquée. L’avis AL26-026 du Centre canadien pour la cybersécurité a été mis à jour le 23 octobre 2026. Il traite cette faille et la CVE-2026-109619, et c’est là que votre prestataire trouvera les versions visées et les mesures recommandées. PHP se trouve partout : boutique d’un détaillant, portail de rendez-vous d’une clinique, intranet d’un cabinet comptable, soit son site interne réservé aux employés.
Comment vérifier dans mon entreprise ?
Quelques questions suffisent, posées aux bonnes personnes.
- Demander à votre prestataire informatique si vos sites et applications utilisent PHP, et dans quelle version.
- Demander à votre hébergeur, l’entreprise qui loue et entretient les ordinateurs où vivent vos sites, si une version corrigée est disponible et quand elle sera appliquée, puis faire noter la réponse par écrit (direction).
- Faire consulter l’avis AL26-026 du Centre canadien pour la cybersécurité par votre prestataire, pour les versions touchées.
- Faire confirmer que vos sauvegardes sont récentes et qu’une restauration a déjà été testée.
Mise en situation
Exemple fictif : une clinique dentaire dont le portail de rendez-vous n’a pas été mis à jour.
Le portail tourne sur un serveur loué, entretenu par un développeur à la pige vu une fois par année, et l’avis passe inaperçu. Un matin, il refuse les connexions et envoie des courriels étranges. La réception reprend l’horaire au téléphone et rappelle les patients un par un. Puis viennent les questions difficiles sur l’accès aux dossiers et sur l’obligation de prévenir les personnes concernées.
Quoi faire maintenant
- Dresser la liste de vos sites et applications, avec leur hébergeur et leur responsable technique.
- Vérifier la version de PHP utilisée par chacun, auprès de votre prestataire.
- Faire vérifier si une version corrigée est disponible, puis la déployer en commençant par ce qui est accessible depuis Internet.
- Retirer d’Internet les applications PHP qui n’ont pas besoin d’y être, et tester une restauration de sauvegarde.
- Suivre les avis de PHP Group et du Centre canadien pour la cybersécurité, et redemander où en est le déploiement.
Faille de sécurité dans PHP : ce que ça change ici
Pour une organisation du Québec, l’enjeu dépasse la technique. Si des renseignements personnels sont touchés, la Loi 25 impose la tenue d’un registre des incidents de confidentialité. En cas de risque de préjudice sérieux, elle impose aussi une notification à la Commission d’accès à l’information et aux personnes concernées. Il n’existe pas de protection absolue et aucun prestataire ne peut garantir un risque zéro : méfiez-vous de tout discours qui promet une protection totale. Déployer la version corrigée dès sa disponibilité réduit fortement l’exposition; des sauvegardes testées, elles, servent à rétablir les activités si un incident survient.
FAQ
Je n’ai pas de site web. Suis-je concerné ?
Peut-être, sans le savoir. Des portails clients, des outils de facturation, des intranets et des logiciels installés chez vous peuvent reposer sur PHP. Demandez-le à vos fournisseurs de logiciels.
Faut-il attendre le correctif avant d’agir ?
Non. L’inventaire, la vérification des versions, la réduction de l’exposition sur Internet et le test de restauration se font tout de suite. Faites aussi vérifier auprès de PHP Group et dans l’avis AL26-026 si une version corrigée est disponible.
Une preuve de concept publique, est-ce la même chose qu’une attaque ?
Non, et la nuance compte. Une démonstration technique rendue publique montre que la faille est réellement exploitable, mais aucune attaque ne figure dans les fiches consultées. Nous n’avons aucun élément pour dire si des tentatives suivront. C’est comme un défaut de serrure montré en public : on change la serrure sans attendre.
Sources
- Fiche CVE-2026-109618 de la National Vulnerability Database · NIST, 21 octobre 2026
- Centre canadien pour la cybersécurité : AL26-026 – Vulnérabilités critiques touchant PHP – CVE-2026-109618 et CVE-2026-109619 – Mise à jour 1 · Centre canadien pour la cybersécurité, 23 octobre 2026
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-109618
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
