02 85 52 13 95 Lun–Jeu 8h30–12h30 · 14h–18h
Ancenis & Pays d'Ancenis
🚨 ALERTE SÉCURITÉ CRITIQUE · 21 OCTOBRE 2026

Faille PHP critique : 70 % des sites web menacés. Vos serveurs sont-ils patchés ?

Deux failles d'exécution de code à distance (CVE-2026-109618 et CVE-2026-109619, score CVSS 9.2/10) touchent PHP depuis le 21 octobre 2026. 22,6 millions d'instances exposées dans le monde. Astorya patche vos serveurs en urgence.

📞 02 85 52 13 95 — intervention sous 4h État des lieux gratuit

Par l'équipe Astorya · 21 octobre 2026 · 6 min de lecture · Mise à jour en temps réel

Ce qu'il s'est passé le 21 octobre 2026

L'équipe PHP a publié dans l'après-midi du 21 octobre 2026 deux correctifs d'urgence pour des failles critiques affectant le cœur du moteur PHP. Les deux vulnérabilités, baptisées « PHP2Shell » par les chercheurs, portent les identifiants :

Les deux failles permettent l'exécution de code à distance non authentifiée (RCE). En clair : un attaquant peut prendre le contrôle de votre serveur, sans mot de passe, à distance.

Qui est concerné ? (Vous, probablement)

PHP fait tourner près de 70 % des sites web mondiaux. Les configurations touchées :

Palo Alto Unit 42 a identifié 22,6 millions d'instances PHP potentiellement vulnérables à l'échelle mondiale. Cloudflare rapporte déjà les premières attaques en cours, et un code d'exploitation (PoC) a fuité.

🎯 Dit autrement : si votre entreprise a un site WordPress, un logiciel de gestion en PHP, un extranet client, un intranet… vous êtes très probablement concernée.

Les versions à installer d'urgence

PHP a publié des correctifs pour les branches encore supportées :

Branche Version corrigée Statut
PHP 8.58.5.12Supportée
PHP 8.48.4.27Supportée
PHP 8.38.3.36Supportée
PHP 8.28.2.35Supportée (fin EOL fin 2026)
PHP 8.1 et antérieur— aucune mise à jour officielleEOL : migrer d'urgence

Que faire IMMÉDIATEMENT (ordre d'urgence)

1. Vérifier votre version PHP (5 min)

Si vous avez un hébergement mutualisé : connectez-vous au panneau d'hébergement (OVH Hosting, Cloudways, SiteGround, etc.) et vérifiez la version PHP affichée. Si c'est une version listée ci-dessus comme corrigée : OK, votre hébergeur a patché.

Si vous avez un serveur dédié ou VPS : commande php -v en SSH.

2. Mettre à jour PHP (ou faire mettre à jour)

Chez OVH Hosting / Infomaniak / Cloudways : la mise à jour est en général automatique sous 24-72h, parfois à activer manuellement dans le panneau. Vérifiez dès ce soir.

Sur serveur dédié : apt update && apt upgrade php* (Debian/Ubuntu) ou yum update php (RHEL/CentOS). Redémarrage de PHP-FPM / Apache obligatoire.

3. Si vous êtes sur PHP 8.1 ou antérieur : migration urgente

Il n'y aura pas de patch officiel. Il faut migrer vers PHP 8.2 ou plus récent. Cette migration demande des tests car certains plugins WordPress ou modules sur-mesure peuvent casser. Ne pas laisser traîner.

4. Surveiller les logs d'activité anormale

Requêtes POST étranges, trafic sortant inhabituel, nouveaux fichiers PHP dans votre arborescence. En cas de doute : couper le serveur et appeler.

Pourquoi c'est aussi grave que ça

Pourquoi vous ne devez PAS attendre

Les attaques automatisées scannent déjà le web entier à la recherche d'instances vulnérables. Si vous n'êtes pas patché cette semaine, les probabilités d'une tentative d'intrusion sur votre serveur dans les 30 prochains jours sont très élevées — selon le profil de votre entreprise et votre exposition.

Le coût d'une compromission : perte de données clients, perte d'activité pendant 48-72h minimum, notification CNIL obligatoire sous 72h, communication de crise, nettoyage, parfois ransomware à payer. Facture moyenne pour une PME : 50 000 à 300 000 €.

Le coût d'un patch : 0 € si vous êtes sous contrat Astorya. Hors contrat : état des lieux offert, puis devis selon le périmètre réel de votre parc.

Comment Astorya intervient dans votre PME

Deux cas :

Vous êtes client Astorya en infogérance

Nous avons déjà commencé les patchs sur l'ensemble de notre parc client dès le 21 octobre au soir. Nous vous appelons dans les 48h pour confirmer l'application. Rien à faire de votre côté.

Vous n'êtes pas client

Appelez le 02 85 52 13 95. Nous proposons une prestation d'urgence :

État des lieux gratuit, intervention sous 4h ouvrées sur le Pays d'Ancenis. Devis chiffré sous 48h après l'audit.

⏱ Chaque heure compte. On patche vos serveurs maintenant.

Appel sous 15 min, intervention sur site sous 4h, patch effectif sous 24h sur l'ensemble de votre parc.

📞 02 85 52 13 95

Ou demander un audit par formulaire

Sources officielles

À lire aussi

Dernière mise à jour : 21 octobre 2026 · Cet article est mis à jour en temps réel au fur et à mesure des évolutions.