Le 21 octobre 2026, deux vulnérabilités critiques référencées CVE-2026-109618 et CVE-2026-109619 ont été publiées dans PHP, le langage qui fait fonctionner la majorité des sites web (WordPress, PrestaShop, Drupal, applications maison...). Ces failles permettent, dans certaines configurations, l'exécution de code à distance sur un serveur mal mis à jour.
Quelles versions de PHP sont touchées ?
Toutes les branches actives de PHP sont concernées. Le correctif a été publié le même jour pour chacune d'elles :
- Branche PHP 8.2 → corrigée en version 8.2.35
- Branche PHP 8.3 → corrigée en version 8.3.36
- Branche PHP 8.4 → corrigée en version 8.4.27
- Branche PHP 8.5 → corrigée en version 8.5.12
Toute version strictement inférieure à ces numéros, sur la branche correspondante, est considérée comme vulnérable. Les branches plus anciennes que 8.2 (PHP 8.1, 8.0, 7.x…) ne reçoivent plus aucun correctif de sécurité officiel et restent donc exposées indéfiniment.
Quel est le risque réel ?
Pour un site e-commerce ou vitrine, l'impact concret peut aller du simple défaçage à la compromission complète du serveur : vol de données clients, envoi de spam depuis votre domaine, dépôt de fichiers malveillants (« shells » PHP), ou blacklistage par Google. Les sites WordPress sont particulièrement ciblés car ils représentent une part importante du trafic d'attaque automatisée sur cette période.
Comment vérifier si mon site est concerné ?
La vérification manuelle nécessite un accès à l'hébergement (cPanel, Plesk, ou SSH) pour lire la version PHP active. ScanMonSite automatise ce contrôle à distance, en lecture seule, et confronte également votre cœur WordPress et vos plugins à la liste des CVE connues d'octobre 2026.