Le 21 octobre 2026 à 17 h 50, tous les serveurs que nous administrons étaient corrigés contre les deux vulnérabilités critiques de PHP annoncées cette semaine-là. Dès l’alerte, nous avions appliqué les mesures de mitigation préconisées sur l’ensemble des sites que nous hébergeons, en attendant la disponibilité des versions corrigées. Retour sur une intervention qui illustre très concrètement le rôle de la maintenance serveur chez Access Web.
Quand une faille est annoncée comme étant « critique », le correctif ne souffre généralement pas de délai d’intervention.
En clair : « on lâche tout et on s’y met ! »
Un site vitrine, une boutique en ligne ou un site touristique peut représenter un outil commercial essentiel : demandes de devis, réservations, commandes, prises de contact… Lorsqu’une alerte touche le logiciel qui fait fonctionner ces sites, elle doit être traitée au niveau de l’hébergement.
Notre priorité a donc été de réduire l’exposition des sites hébergés, puis de déployer les correctifs dès leur disponibilité.
Le 20 octobre, l’équipe PHP a préannoncé une publication de sécurité pour le 21 octobre 2026 à 14 h UTC, soit 16 h à Paris. Elle concernait deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, annoncées avec un score de gravité de 9,2/10 en CVSS v4.0.
PHP a ensuite confirmé qu’elles pouvaient permettre une exécution de code à distance sans authentification. Autrement dit, un attaquant pouvait, dans certaines conditions, faire exécuter du code sur le serveur sans disposer d’un compte sur le site.
Les correctifs ont été publiés le 21 octobre dans les versions PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Le CERT-EU indique une mise à disposition anticipée à 13 h 30 UTC, soit 15 h 30 à Paris. Les anciennes branches de PHP étaient également concernées ; leur traitement dépend notamment des correctifs fournis par les distributions ou prestataires qui les maintiennent.
Dès l’annonce, nous avons appliqué les mesures de mitigation préconisées sur tous les sites que nous hébergeons. Ces mesures visaient à réduire l’exposition en attendant la mise à disposition des versions corrigées de PHP.
Une mitigation reste une mesure provisoire : elle ne remplace pas le correctif. Les recommandations officielles le précisent : ces contournements réduisent certains chemins d’attaque, sans corriger complètement les vulnérabilités.
Nous avons donc poursuivi l’intervention avec le déploiement des correctifs. Le mercredi 21 octobre à 17 h 50, heure de Paris, tous nos serveurs étaient patchés.
C’est cette continuité entre veille, premières mesures et correction qui compte : prendre connaissance de l’alerte, agir sur les environnements concernés et aller jusqu’au déploiement du correctif.
WordPress, ses extensions et son thème constituent une partie de votre site. PHP est le logiciel côté serveur qui permet d’en exécuter le code. Sa maintenance relève donc d’un autre niveau d’intervention.
Un WordPress parfaitement à jour peut ainsi fonctionner sur un environnement PHP qui nécessite un correctif de sécurité. Cliquer sur « Tout mettre à jour » dans l’administration de votre site ne met pas automatiquement à jour le logiciel PHP du serveur.
Maintenance WordPress et maintenance serveur sont complémentaires. La première porte sur le site et ses composants ; la seconde sur l’environnement technique qui les fait fonctionner.
La valeur d’un hébergement administré se mesure aussi lors de ce type d’alerte. Il faut suivre les annonces de sécurité, identifier les environnements concernés, adapter les configurations si une mesure provisoire est nécessaire et déployer les correctifs selon leur urgence.
Une intervention serveur doit aussi s’accompagner de vérifications adaptées au site : affichage des pages, formulaires et, lorsqu’ils existent, parcours de réservation ou de commande. L’objectif est de maintenir un environnement à jour tout en veillant au bon fonctionnement des services dont votre activité dépend.
L’intervention du 21 octobre en est un exemple concret : derrière votre site, nous assurons aussi le suivi technique de son hébergement et la prise en charge des alertes qui exigent une réaction rapide.
Vous souhaitez savoir qui prend en charge les mises à jour PHP et la sécurité de votre hébergement ? Échangeons sur votre installation et sur la maintenance adaptée à votre site.
Informations vérifiées le 28 octobre 2026. La chronologie des interventions Access Web est issue de notre suivi interne.
PHP — annonces de sécurité des 20, 21 et 23 octobre 2026
CERT-EU — Critical Vulnerabilities in PHP, avis 2026-018
PHP — bulletin CVE-2026-109618
PHP — bulletin CVE-2026-109619
