Deux failles critiques dans PHP permettent l'exécution de code sans authentification — et une mise à jour de WordPress n'y changera rien

Deux failles critiques de PHP (CVE-2026-109618, CVE-2026-109619) permettent l'exécution de code sur les sites WordPress. WordPress seul ne suffit pas.

  • Wordfence a publié des recherches sur deux vulnérabilités critiques dans PHP, répertoriées CVE-2026-109618 et CVE-2026-109619, exploitables sans authentification pour exécuter du code.
  • Tout site WordPress est exposé si le moteur PHP sous-jacent n'est pas corrigé — y compris les sites de districts, d'écoles et de ministères hébergés sur des plateformes partagées ou gérées avec des versions de PHP figées.
  • Mettre à jour le cœur, les thèmes ou les extensions de WordPress ne corrige pas le problème : il faut mettre à jour le paquet PHP et redémarrer le service PHP pour que le correctif soit réellement actif.

À faire maintenant

  1. Inventorier tous les sites WordPress et les sites s'appuyant sur PHP que vous exploitez ou financez — y compris ceux gérés par des écoles ou des directions — et consigner la version exacte de PHP ainsi que le pool PHP-FPM ou le gestionnaire mod_php utilisé.
  2. Obtenir la version corrigée de PHP auprès du projet PHP, de votre distribution Linux ou de votre fournisseur d'hébergement, et confirmer les plages de versions touchées dans l'avis du fournisseur avant de planifier le changement.
  3. Appliquer le paquet PHP corrigé, puis redémarrer les pools PHP-FPM ou le serveur web afin que les processus de travail chargent le nouveau binaire ; une simple mise à jour de paquet peut laisser d'anciens processus répondre aux requêtes.
  4. Considérer les mises à jour du cœur, des thèmes et des extensions WordPress comme de l'hygiène distincte, et non comme le correctif de ce problème ; revérifier PHP après toute migration d'hôte ou reconstruction de conteneur.
  5. Jusqu'à la fin du correctif, activer les règles WAF ou de correctif virtuel et examiner les journaux du serveur web et de PHP pour repérer des tentatives d'exploitation non authentifiées ; revérifier les hôtes ensuite pour confirmer qu'aucun processus PHP vulnérable ne subsiste.

Articles liés