Failles critiques dans PHP et Node.js : nos mesures et les mises à jour à faire de votre côté

Aujourd’hui, 21 octobre 2026, PHP et Node.js ont publié des mises à jour de sécurité. Les correctifs PHP sont particulièrement importants : ils corrigent deux failles critiques permettant à un attaquant d’exécuter du code sur un serveur web sans s’authentifier. Des attaques avaient déjà été signalées avant même la publication du correctif.

WireBoard est déjà à jour. Il n’y a eu aucune interruption de service. Vous n’avez rien à faire sur votre compte WireBoard ni sur votre script de suivi.

En revanche, si votre site ou votre application utilise PHP ou Node.js, lisez la suite et faites la mise à jour dès aujourd’hui.

En bref

• Vous utilisez WordPress, Magento, Drupal, Laravel ou une autre application PHP ? Votre site utilise donc PHP. Faites la mise à jour sans attendre.

• Vous avez un hébergement mutualisé ou infogéré ? C’est à votre hébergeur d’appliquer le correctif PHP. Vérifiez qu’il l’a fait.

• Après la mise à jour de PHP, redémarrez PHP-FPM ou Apache. Sans cela, l’ancienne version continue de tourner.

• Vous utilisez une version en fin de vie (PHP 8.1 ou antérieur, Node.js 25, 23, 20 ou antérieur) ? Aucun correctif officiel ne sera publié pour ces versions. Prévoyez de passer à une version encore prise en charge.

Ce qui s’est passé

PHP : « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619)

L’équipe PHP a publié des correctifs pour deux vulnérabilités critiques, toutes deux notées 9,2 sur l’échelle CVSS v4.0 :

• CVE-2026-109618 : exécution de code à distance par corruption de mémoire lorsque PHP manque de mémoire pendant le traitement d’une requête.

• CVE-2026-109619 : exécution de code à distance due à un état global obsolète.

Ces deux failles sont exploitables à distance, sans authentification, avec les configurations par défaut. Des détails ont fuité en ligne la veille de la publication prévue. Des entreprises de cybersécurité ont ainsi observé des attaques et des tentatives de détection des failles sur des sites PHP avant la mise à disposition du correctif. Par précaution, plusieurs entreprises ont suspendu leurs services le temps d’effectuer la mise à jour.

Toutes les branches PHP encore prises en charge sont touchées, pour les versions antérieures à 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Node.js : mise à jour de sécurité d’octobre 2026

Node.js a publié des correctifs pour les branches 26.x, 24.x et 22.x. Ils couvrent 10 vulnérabilités, dont 4 de gravité élevée. Les principales :

• CVE-2026-111497 : une écriture hors limites dans le décompresseur Brotli peut permettre l’exécution de code à distance. Un simple appel à fetch() vers un serveur qui renvoie des données compressées avec Brotli peut suffire à exposer votre application.

• CVE-2026-105483 / CVE-2026-106069 : des représentations inhabituelles d’adresses IP permettent de contourner la vérification du nom d’hôte TLS.

• CVE-2026-105482 : dns.resolve peut résoudre un nom différent de celui vérifié par votre code.

Ce que nous avons fait

Nous avons appliqué les deux mises à jour à l’ensemble de l’infrastructure WireBoard aujourd’hui. Le déploiement s’est déroulé sans interruption de service ni incidence sur les données. Rien ne change dans votre utilisation de WireBoard.

Êtes-vous concerné ?

Vous devez intervenir si votre site, application ou serveur utilise :

• PHP, directement ou via un CMS ou un framework comme WordPress, WooCommerce, Magento, Drupal, Joomla, Laravel ou Symfony.

• Node.js, par exemple pour une application Next.js, Nuxt, Express ou NestJS, ou pour tout service backend ou serveur de compilation exécutant Node.

Vous avez un doute ? Posez simplement cette question à votre développeur ou à votre hébergeur : « Notre site utilise-t-il PHP ou Node.js, et la mise à jour de sécurité publiée aujourd’hui a-t-elle été appliquée ? »

Comment vérifier votre version

PHP

C’est la version utilisée par votre serveur web qui compte. La commande php -v dans un terminal affiche la version de PHP en ligne de commande, qui peut être différente.

1. Créez un fichier nommé info.php à la racine web de votre site, avec le contenu suivant : <?php phpinfo();

2. Ouvrez-le dans votre navigateur et vérifiez la valeur PHP Version en haut de la page.

3. Supprimez le fichier immédiatement après : il expose toute la configuration de votre serveur.

De nombreux panneaux d’administration d’hébergement (cPanel, Plesk, etc.) affichent aussi la version de PHP.

Cas des paquets des distributions Linux : Ubuntu, Debian, RHEL et d’autres distributions appliquent souvent le correctif par rétroportage, sans changer le numéro de version. Dans ce cas, recherchez les identifiants CVE dans le journal des modifications du paquet (voir ci-dessous).

Node.js

node -v

Le correctif est installé si la commande affiche v26.12.1, v24.22.1, v22.23.4 ou une version ultérieure de la même branche.

Comment mettre à jour PHP

Suivez les instructions correspondant au mode d’installation de PHP sur votre serveur.

Hébergement mutualisé ou infogéré

Votre hébergeur gère PHP et applique le correctif. Consultez sa page d’état des services ou ses annonces, puis vérifiez la version avec phpinfo(), comme indiqué plus haut. Si votre panneau d’administration permet de choisir la version de PHP et que vous utilisez la version 8.1 ou une version antérieure, passez à la version 8.2 ou ultérieure. Vérifiez d’abord la compatibilité de votre CMS et de vos extensions.

Ubuntu / Debian

sudo apt update
# replace 8.3 with the PHP branch you use
sudo apt install --only-upgrade 'php8.3-*'

# confirm the fix is included
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961(8|9)'

Si la dernière commande n’affiche rien, le correctif n’est pas encore disponible dans le dépôt de votre distribution. Consultez les avis de sécurité Ubuntu ou le suivi de sécurité Debian, puis réessayez plus tard. Si vous utilisez les paquets PHP d’Ondřej Surý, procédez de la même façon depuis ce dépôt.

RHEL / AlmaLinux / Rocky Linux

dnf module list php          # see which PHP stream you're on
sudo dnf upgrade 'php*'

# confirm the fix is included
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961(8|9)'

Si vous utilisez le dépôt Remi, effectuez la mise à jour depuis ce dépôt.

Docker

Télécharger une nouvelle image ne met pas à jour les conteneurs déjà en cours d’exécution. Téléchargez l’image, reconstruisez les images de vos services et recréez les conteneurs :

docker pull php:8.3-fpm        # use your tag
docker compose build --pull
docker compose up -d

Pour plus de sûreté, fixez explicitement la version corrigée dans votre Dockerfile (par exemple FROM php:8.3.36-fpm).

Compilation depuis les sources ou installation sous Windows

Téléchargez la version corrigée sur php.net/downloads.

Redémarrez ensuite PHP

Cette étape est facile à oublier. Les processus en cours continuent d’utiliser l’ancienne version de PHP jusqu’à leur redémarrage :

# PHP-FPM (Debian/Ubuntu; replace 8.3 with your branch)
sudo systemctl restart php8.3-fpm

# PHP-FPM (RHEL family)
sudo systemctl restart php-fpm

# Apache with mod_php
sudo systemctl restart apache2   # or httpd on RHEL

Vérifiez ensuite à nouveau phpinfo() pour confirmer que la nouvelle version est bien utilisée.

« Est-ce qu’un simple changement de configuration suffit ? »

Non. Des solutions de contournement ont circulé, comme la désactivation de session.upload_progress.enabled, mais elles ne font que réduire le risque. Un développeur du cœur de PHP a déclaré publiquement que la mise à jour de PHP était la seule mesure réellement efficace. Si vous avez appliqué une solution de contournement, conservez-la jusqu’à la mise à jour, mais ne vous en contentez pas.

Comment mettre à jour Node.js

Après la mise à jour, redémarrez votre application (ou redéployez-la), puis vérifiez la version avec node -v.

Si vous utilisez une version en fin de vie

Seules les versions encore prises en charge reçoivent des correctifs officiels :

• PHP : 8.2, 8.3, 8.4 et 8.5. Il n’y aura pas de mise à jour officielle pour PHP 8.1 ni pour les versions antérieures. Certaines distributions Linux et certains fournisseurs de support longue durée payant proposent des correctifs rétroportés : renseignez-vous auprès du vôtre. À défaut, le plus sûr est de passer à une branche encore prise en charge. Attention, PHP 8.2 ne recevra des correctifs de sécurité que jusqu’au 31 décembre 2026.

• Node.js : 22.x, 24.x et 26.x. Les branches 25, 23 et 20, notamment, sont en fin de vie et ne recevront aucun correctif.

Si vous ne pouvez pas changer de version immédiatement, envisagez de protéger le site par un pare-feu applicatif web ou d’en restreindre l’accès en attendant.

Pour en savoir plus

Avis officiels

• Actualités PHP et annonces de nouvelles versions

• Avis de sécurité PHP GHSA-w8hw-w9fx-j79w (CVE-2026-109618)

• Avis de sécurité PHP GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)

• Versions de PHP prises en charge

• Node.js : mises à jour de sécurité du mercredi 21 octobre 2026

Guides pratiques

• GoDaddy : mise à jour de sécurité PHP importante, ce que les propriétaires de sites doivent faire (présentation accessible)

• Help Net Security : PHP2Shell corrigé, faites la mise à jour sans attendre

• ma.ttias.be : comment appliquer les correctifs PHP (état des correctifs par distribution)

• Lilting : les correctifs Node.js d’octobre 2026 expliqués (analyse technique détaillée)