Deux failles critiques dans PHP : correctifs déployés chez all2all
Le projet PHP a publié ce 21 octobre 2026 des correctifs pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619, susceptibles de permettre l’exécution de code à distance sans authentification.
all2all a installé les mises à jour de sécurité sur l’ensemble de ses hôtes d’hébergement web immédiatement après leur publication, peu après 16 h (heure de Bruxelles). Les versions récentes de PHP ont reçu les nouvelles versions corrigées ; les versions anciennes utilisées sur nos hôtes ont également reçu les correctifs de sécurité rétroportés.
Cette intervention ne change pas la version majeure de PHP choisie pour chaque site.
Les anciennes versions de PHP ont également reçu les correctifs
Les mises à jour concernent aussi les anciennes versions de PHP encore utilisées sur nos hébergements. Grâce aux paquets fournis par le dépôt Sury, elles bénéficient de correctifs de sécurité rétroportés, également appelés backports.
Un backport consiste à adapter un correctif à une ancienne branche de PHP, sans imposer une migration vers une nouvelle version majeure. Cela permet de corriger la vulnérabilité tout en préservant autant que possible la compatibilité avec les sites existants.
Pourquoi le numéro de version semble-t-il inchangé ?
Pour ces anciennes branches, le numéro de version PHP peut rester identique : par exemple, PHP 5.6.40 reste PHP 5.6.40. C’est la révision du paquet, indiquée après le tiret, qui évolue pour identifier la nouvelle publication contenant les correctifs. Il ne s’agit pas d’une nouvelle version mineure de PHP.
Pour les branches plus récentes, le numéro de correctif PHP évolue également : par exemple, PHP 8.2 passe à 8.2.35. Dans tous les cas, cette intervention conserve la branche PHP choisie pour chaque site.
Versions et paquets corrigés installés
Le tableau ci-dessous couvre toutes les branches PHP relevées sur notre infrastructure après le déploiement du 21 octobre 2026. Leurs changelogs mentionnent explicitement les correctifs de CVE-2026-109618 et CVE-2026-109619.
| Branche PHP | Version PHP installée | Paquet Sury corrigé (abrégé) |
|---|---|---|
| PHP 5.6 | 5.6.40 |
5.6.40-104… |
| PHP 7.0 | 7.0.33 |
7.0.33-92… |
| PHP 7.1 | 7.1.33 |
7.1.33-80… |
| PHP 7.2 | 7.2.34 |
7.2.34-66… |
| PHP 7.3 | 7.3.33 |
7.3.33-35… |
| PHP 7.4 | 7.4.33 |
7.4.33-31… |
| PHP 8.0 | 8.0.30 |
8.0.30-25… |
| PHP 8.1 | 8.1.34 |
8.1.34-9… |
| PHP 8.2 | 8.2.35 |
8.2.35-1… |
| PHP 8.3 | 8.3.36 |
8.3.36-1… |
| PHP 8.4 | 8.4.27 |
8.4.27-1… |
| PHP 8.5 | 8.5.12 |
8.5.12-1… |
Les noms de paquets sont abrégés : le suffixe complet précise notamment la date de compilation et la distribution Debian concernée. Le préfixe technique Debian 1:, présent sur certains paquets, est également omis dans le tableau.
Un outil qui affiche uniquement « PHP 5.6.40 » ou « PHP 7.4.33 » ne permet donc pas de déterminer si ces correctifs sont installés : il faut également examiner la révision complète du paquet.
Ces correctifs rétroportés ne rétablissent pas le support officiel des anciennes branches par le projet PHP. Ils apportent une protection contre les vulnérabilités corrigées ; la migration vers une branche PHP officiellement maintenue reste souhaitable.