Une fuite survenue sur Hacker News a forcé les équipes de développement du langage à avancer son calendrier. Ce mercredi 21 octobre 2026 à 16 heures, une mise à jour d’urgence est déployée pour colmater deux vulnérabilités critiques référencées CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 sur l’échelle CVSS.
Ces failles permettent une exécution de code à distance (RCE). Un attaquant peut ainsi prendre le contrôle d’un serveur distant en y injectant des instructions malveissantes, menaçant directement les architectures sous WordPress, Drupal, Joomla ou Magento.
Le risque s’avère particulièrement élevé pour les infrastructures anciennes. Seules les branches de PHP allant de 8.2 à 8.5 reçoivent encore des correctifs officiels, alors qu’une part importante du parc de serveurs tourne encore sous des versions obsolètes 5 ou 7 qui ne bénéficieront d’aucun patch.
Pour protéger vos applications, connectez-vous en SSH sur votre machine et tapez la commande php -v pour identifier la version active. Si vous gérez un hébergement mutualisé, contactez rapidement votre hébergeur pour vérifier que la mise à jour sera appliquée sans délai dès sa publication.
![[Valid RSS]](https://www.techcroute.com/wp-content/uploads/2023/02/valid-rss-rogers.png "Validate my RSS feed")
