Avis de sécurité : deux failles critiques PHP exigent une mise à niveau immédiate

Tripoli — Le 21 octobre 2026, deux vulnérabilités critiques ont été publiées dans le runtime PHP, touchant un large éventail de sites et d’applications PHP, y compris les CMS et panneaux d’hébergement courants.

Identifiées sous CVE-2026-109618 et CVE-2026-109619, elles sont classées Critical (environ CVSS 9.2). Les rapports officiels indiquent qu’elles peuvent permettre une exécution de code à distance non authentifiée sur des workers PHP exposés.

Les avis coordonnés convergent : la mise à niveau vers une version corrigée est le correctif complet. Les contrôles de configuration temporaires ne constituent qu’une atténuation partielle.

Versions minimales sûres Passez immédiatement à l’une des versions suivantes, puis redémarrez les workers PHP (php-fpm, Apache mod_php ou conteneur) :

• PHP 8.5 → 8.5.12
• PHP 8.4 → 8.4.27
• PHP 8.3 → 8.3.36
• PHP 8.2 → 8.2.35

Les branches 8.1 et antérieures sont en fin de vie côté projet PHP et ne reçoivent pas de correctif upstream habituel pour ces CVE ; une migration vers une branche supportée et corrigée s’impose sans délai.

Enjeu local De nombreux sites institutionnels, commerces et systèmes de réservation en Libye reposent encore sur PHP via des stacks d’hébergement courants. Un seul serveur exposé et non patché peut menacer les données et la continuité de service.

Median Group invite les équipes techniques à vérifier la version avec php -v, appliquer la mise à jour depuis leur dépôt ou image, confirmer que chaque worker est corrigé, et revoir les hôtes multi-sites partageant le même binaire PHP.

median.ly est construit sur Next.js/Node.js et non sur PHP au niveau applicatif. Cet avis est publié parce que de nombreux clients et partenaires font tourner des services PHP aux côtés des plateformes Median.

Sources officielles - Archives PHP 2026 - Note de la PHP Foundation - CERT-EU 2026-018

Pour une coordination liée aux plateformes Median : prendre rendez-vous · nous contacter.