En quelques mots :
• PHP est un langage de script largement utilisé par les serveurs web, avec plus de 600 000 serveurs l’exploitant sur l’Internet français. Il s’agit d’un moteur permettant aux sites web de générer des pages dynamiques, dont le contenu évolue en fonction des interactions des utilisateurs ou des données du serveur.
• Le 20 octobre 2026, l’éditeur PHP a publié une communication concernant deux vulnérabilités critiques dont l’exploitation peut permettre un déni de service. PHP indique également que les vulnérabilités permettent à un attaquant de provoquer une exécution de code arbitraire à distance. Des correctifs de sécurité ont été publiés le 21 octobre 2026 sur le site de l’éditeur.
• Le CERT-FR a publié une alerte de sécurité et recommandé, lorsque cela est possible, la mise hors ligne des serveurs concernés jusqu’à application de la mise à jour intégrant les correctifs de sécurité.
• Cette alerte de sécurité a été largement partagée en France et à l’étranger, notamment aux CERT nationaux, ministériels, sectoriaux et territoriaux avec lesquels l’ANSSI échange quotidiennement.
• Les informations actualisées sur les vulnérabilités, les versions affectées et les recommandations à appliquer sont à consulter dans l’alerte du CERT-FR : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/.
