Les 20 et 21 octobre 2026, deux failles critiques ont placé PHP, l’un des moteurs les plus utilisés du Web, au cœur de l’actualité cyber de ce mois. Elles permettent à un attaquant d’exécuter à distance du code sur certains serveurs vulnérables, sans avoir besoin de s’authentifier.
Pour les entreprises et particulièrement les professionnels réglementés, cet événement rappelle une réalité essentielle : sécuriser son système d’information ne consiste pas seulement à déployer des outils de cybersécurité. Il faut aussi surveiller, maintenir et mettre à jour l’ensemble de son environnement numérique.
Alors, que s’est-il passé ? Qui est concerné ? Pourquoi ces failles sont-elles importantes ? Et surtout, quels enseignements en tirer ?
Que s’est-il passé avec PHP ?
PHP est un langage informatique utilisé côté serveur pour faire fonctionner des sites et des applications Web. Concrètement, il permet à un serveur de traiter des demandes, d’afficher des informations, d’échanger avec une base de données ou de faire fonctionner une application.
Il se trouve notamment derrière de nombreux sites s’appuyant sur des technologies comme WordPress, Drupal, Magento ou des applications développées spécifiquement pour une entreprise.
Le 20 octobre 2026, la Fondation PHP a annoncé l’arrivée de mises à jour de sécurité concernant deux vulnérabilités dans PHP.
Le problème est particulièrement sérieux, les failles sont critiques :
Ces failles peuvent permettre à un attaquant distant et non authentifié d’exécuter du code arbitraire sur un serveur vulnérable. Elles ont reçu un score de gravité de 9,2 sur 10 selon le référentiel CVSS 4.0.
Dit plus simplement : un cyberattaquant peut, dans certaines conditions, faire exécuter ses propres instructions par un serveur vulnérable.
Cela peut ensuite compromettre les données accessibles à ce serveur, perturber son fonctionnement ou servir de point d’appui à une attaque plus large.
Qui est concerné par ces failles PHP ?
L’ampleur du risque vient principalement de la très forte utilisation de PHP sur le Web.
Près de 7 sites sur 10 dont le langage serveur est identifié utilisent PHP. Mais PHP ne sert pas uniquement à afficher des pages Web. Il intervient aussi dans de nombreuses applications et dans certains échanges entre des interfaces Web, des bases de données et des systèmes métiers.
C’est pourquoi l’exposition peut dépasser largement le seul « site Internet » d’une organisation.
Le CERT-FR* indique que les versions PHP 5.x, 7.x, 8.0.x et 8.1.x sont concernées, ainsi que les versions antérieures à 8.2.35, 8.3.36, 8.4.27 et 8.5.12 dans les branches actuellement maintenues. Multiples vulnérabilités dans PHP.
La Commission européenne, ENISA, CERT-EU* et Europol ont d’ailleurs appelé conjointement les organisations à agir rapidement. Ils rappellent aussi que certains logiciels peuvent intégrer PHP sans que leur utilisateur en ait nécessairement conscience.
C’est un point particulièrement important pour les notaires, experts-comptables et autres professionnels réglementés : un site, un extranet ou une application métier peut dépendre de PHP sans que cette technologie soit visible pour l’utilisateur.
Pourquoi les failles PHP ont déclenché une course contre la montre
L’un des aspects les plus marquants de cet événement est sa chronologie.
Le 20 octobre, PHP annonce deux vulnérabilités critiques et prévient qu’un correctif sera disponible le lendemain. Pour des raisons de sécurité, tous les détails permettant d’exploiter les failles ne sont pas immédiatement dévoilés.
Le 21 octobre, les correctifs sont publiés avec les nouvelles versions de PHP : 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les détails sont connus à compter de cette communication.
Dès la publication des correctifs, une véritable course contre la montre s’engage. Les équipes techniques doivent identifier les serveurs concernés, appliquer les mises à jour et parfois arbitrer entre maintenir le service disponible ou le suspendre temporairement pour le sécuriser. La situation est encore plus complexe pour les serveurs anciens, qui peuvent nécessiter une migration vers une version plus récente de PHP avant de pouvoir être protégés.
Le 23 octobre 2026, PHP publie un nouvel avis concernant CVE-2026-115560, une autre vulnérabilité pouvant mener à une exécution de code à distance. Cette troisième vulnérabilité nécessite cependant une combinaison spécifique de paramètres et de code applicatif pour être exploitée.
Les vulnérabilités sont désormais connues et documentées. Les attaquants peuvent alors rechercher sur Internet des serveurs qui n’ont pas encore été corrigés et tenter de les exploiter.
La menace n’est donc plus théorique. La rapidité avec laquelle les organisations identifient et corrigent leurs systèmes vulnérables devient déterminante.
Où se situe réellement le risque des failles PHP ?
Le risque concerne les serveurs Web qui utilisent une version vulnérable de PHP.
Pour une entreprise, la difficulté consiste donc d’abord à savoir où PHP est utilisé. Et c’est souvent là que commence le problème.
Un site institutionnel peut être suivi par une agence. Une application métier peut dépendre d’un éditeur. Un ancien serveur mal identifié peut encore fonctionner dans l’infrastructure. Certains composants peuvent également embarquer PHP sans que les équipes techniques en aient connaissance.
Mais qu’en est-il des structures plus petites, dont le site a été développé en interne ou livré sans contrat de maintenance ? Qui surveille les nouvelles vulnérabilités ? Qui vérifie les versions utilisées ? Et qui intervient lorsqu’un correctif critique doit être appliqué rapidement ?
Face à une vulnérabilité critique, ne pas connaître précisément son patrimoine informatique ou ne pas avoir identifié qui doit intervenir représente déjà un risque.
Pourquoi cet événement doit-il alerter les professionnels réglementés ?
Les grandes organisations disposent généralement d’équipes chargées de la veille, de la sécurité et du maintien en condition opérationnelle de leurs infrastructures.
Lorsqu’une alerte apparaît, elles peuvent identifier les équipements concernés, inventorier les applications concernées, vérifier leur exposition, tester les correctifs puis les déployer.
Pour une structure plus petite, la situation est différente.
- Qui surveille quotidiennement les alertes du CERT-FR ou des éditeurs ?
- Qui sait quelles versions de PHP fonctionnent derrière le site ou les applications ?
- Qui vérifie que le prestataire chargé du site a bien appliqué le correctif ?
- Et dans quel délai doit-il intervenir contractuellement ?
C’est précisément ce que cette crise PHP met en lumière.
La cybersécurité repose autant sur des solutions techniques que sur la capacité à détecter, décider et agir rapidement. Connaître son patrimoine digital c’est être en mesure de décider. Sans cartographie ou inventaire, c’est être aveugle.
Failles PHP : ce que les professionnels réglementés doivent retenir
Ces failles PHP constituent un rappel concret pour toutes les organisations.
Un outil numérique peut être sécurisé aujourd’hui et présenter une vulnérabilité critique demain.
La question n’est donc pas seulement :« Sommes-nous protégés ? »
Elle est aussi :« Sommes-nous organisés pour détecter rapidement une nouvelle menace et y répondre ? »
Pour un notaire, un expert-comptable ou tout autre professionnel réglementé, cette capacité est particulièrement importante. Les systèmes d’information traitent quotidiennement des données sensibles, confidentielles et essentielles à l’activité.
La cybersécurité doit donc être envisagée dans la durée :
- Connaître son environnement,
- Surveiller les vulnérabilités,
- Appliquer les correctifs,
- Protéger les accès,
- Disposer des bonnes compétences ou des bonnes couvertures contractuelles lorsque l’incident survient.
Parce qu’en cybersécurité, la réactivité fait partie intégrante de la protection.
Quels dispositifs de cybersécurité mettre en place ?
L’outil digital est devenu la colonne vertébrale de la quasi-totalité des entreprises. Sa sécurisation doit donc faire partie intégrante de leur gestion quotidienne, au même titre que les sauvegardes ou les plans de continuité d’activité. Face à des vulnérabilités critiques comme celles découvertes sur PHP, une protection globale et une surveillance continue sont indispensables. Sans organisation adaptée, les conséquences d’une attaque peuvent être importantes pour l’entreprise, son activité et ses clients. Sans équipe interne intégrée ou constituée, la couverture juridique et le choix des fournisseurs devient central pour assurer la continuité de votre activité.
Face à des menaces qui évoluent en permanence, ADNOV mobilise son expertise technique pour accompagner et protéger les professionnels réglementés. Cyber 360° notamment permet d’aller plus loin avec une approche globale de la cybersécurité. Les audits notamment répondent à ces exigences en listant les besoins et en identifiant les intervenants.
Déjà déployée auprès de nombreux clients ADNOV, cette approche permet aux professionnels de renforcer durablement leur cybersécurité, sans avoir à disposer en interne de toutes les compétences nécessaires. Vous pouvez ainsi rester concentrés sur votre métier et vos missions, pendant qu’ADNOV veille sur votre environnement numérique.
Et si cet événement était l’occasion de faire le point sur votre cybersécurité ?
Échangez avec nos experts pour identifier vos risques et renforcer durablement votre protection.
*Sources : PHP.net / PHP Foundation, CERT-FR (ANSSI), CERT-EU