En bref Le 21 octobre 2026, deux failles critiques dans PHP (CVE-2026-109618 et CVE-2026-109619, notées 9,2/10) permettent l'exécution de code à distance sur les serveurs non corrigés. Les versions PHP 8.2, 8.3, 8.4 et 8.5 sont concernées si elles n'ont pas reçu le correctif du 21 octobre. Les sites Odoo, écrits en Python, ne sont pas touchés par ces vulnérabilités.
Le 21 octobre 2026, l'équipe de PHP a publié en urgence des correctifs de sécurité pour deux failles critiques dans PHP, référencées CVE-2026-109618 et CVE-2026-109619. Chacune permet à un attaquant d'exécuter du code à distance sur un serveur web, sans s'identifier. Le CERT-EU appelle à installer les correctifs immédiatement (CERT-EU, octobre 2026).
La porte d'entrée de l'immeuble, pas votre appartement
PHP est le langage dans lequel sont écrits une grande partie des sites web : WordPress, Drupal, Magento, Joomla, entre autres. Ces deux failles ne se situent ni dans votre site ni dans vos extensions. Elles se trouvent dans la couche qui traite les requêtes avant que votre code ne s'exécute, c'est-à-dire dans la porte d'entrée de l'immeuble, pas dans votre appartement.
L'une exploite une mauvaise gestion de la mémoire. L'autre concerne des données internes qui survivent d'une requête à l'autre alors qu'elles devraient disparaître. Résultat : un attaquant peut entrer sans clé et agir avant même que votre application ne s'en aperçoive.
Aucun exploit public fiable n'était avéré au 21 octobre 2026, selon linuxcompatible et solutions-numeriques. Mais l'information avait fuité avant la publication officielle, accompagnée d'une vidéo montrant un outil baptisé PHP2Shell prenant le contrôle de sites WordPress, Drupal, Magento ou Joomla. La prudence s'impose.
Quelles versions sont touchées ?
Les branches concernées sont les suivantes :
- PHP 8.2 antérieure à la version 8.2.35
- PHP 8.3 antérieure à la version 8.3.36
- PHP 8.4 antérieure à la version 8.4.27
- PHP 8.5 antérieure à la version 8.5.12
Les branches plus anciennes ne reçoivent plus de correctifs de sécurité depuis longtemps. Si votre serveur tourne encore sur PHP 7.x ou une version 8.x antérieure à celles listées ci-dessus, le problème précède de loin ces deux CVE.
Deux précisions utiles avant d'agir. Votre panneau d'hébergement peut afficher une version à jour alors que le serveur n'a pas été mis à jour : un cas de terrain rapporte un panneau affichant « PHP 8.4 » alors que la 8.4.26, vulnérable, s'exécutait encore (source : X, octobre 2026). À l'inverse, un numéro de version apparemment ancien ne signifie pas forcément que le serveur est vulnérable : Ubuntu 26.04 LTS maintient PHP 8.5.4 dans ses paquets, mais intègre déjà le correctif (justgeek, octobre 2026). Vérifiez toujours la version réelle du binaire, pas celle affichée dans une interface.
Un problème de maintenance plus que de technologie
PHP est un langage solide lorsqu'il est maintenu. Le vrai sujet est ailleurs. Une étude de Censys, rapportée en juin 2026 par it-daily, indique que plus de 70 % des sites WordPress analysés utilisent des versions de PHP périmées. La raison est connue : les mises à jour provoquent parfois des incompatibilités avec d'anciennes extensions et beaucoup d'administrateurs les repoussent indéfiniment.
L'équipe PHP elle-même confirme qu'aucune mesure provisoire ne garantit une protection complète (source : X, octobre 2026). La seule réponse fiable reste l'installation du correctif.
Les quatre questions à poser à votre hébergeur dès aujourd'hui
- Quelle version exacte de PHP s'exécute sur mon serveur ?
- Le correctif du 21 octobre 2026 est-il installé ?
- Qui installe les correctifs lorsque la prochaine alerte survient ?
- Mes extensions sont-elles compatibles avec une version à jour de PHP ?
Si la réponse tarde, c'est déjà une réponse.
Et les sites Odoo dans tout ça ?
Odoo est écrit en Python, pas en PHP. Les deux failles CVE-2026-109618 et CVE-2026-109619 ne concernent donc pas les sites et applications propulsés par Odoo. Python est d'ailleurs le langage dominant de l'intelligence artificielle : c'est l'une des raisons pour lesquelles Odoo 20 embarque une IA particulièrement avancée, avec 52 modules dédiés dans l'édition Enterprise.
Cela ne signifie pas qu'Odoo est à l'abri de tout : Python et Odoo ont aussi leurs avis de sécurité. La différence tient au modèle de maintenance. Un seul périmètre à surveiller, une équipe qui connaît le dossier, des mises à jour posées sans qu'on les réclame et aucun empilement d'extensions oubliées. Sur Odoo.sh, les mises à jour de sécurité sont gérées par l'hébergeur. En on-premise, elles restent sous votre responsabilité.
Si vous conservez en parallèle un site WordPress ou PrestaShop, vous restez concerné par ces failles tant que le correctif n'est pas installé. Nos consultants peuvent faire le point avec vous sur votre périmètre.
Une faille se corrige en un jour, une habitude prend des années
La maintenance de sécurité n'est pas un événement ponctuel. C'est une discipline. Chaque alerte comme celle du 21 octobre 2026 révèle les organisations qui ont mis en place un processus et celles qui réagissent dans l'urgence. La revue de processus que nous menons avec nos clients inclut systématiquement ce volet : qui surveille, qui décide, qui agit et dans quel délai.
Si votre site vit encore dans un environnement PHP non maintenu et que vous envisagez de migrer vers Odoo, nos consultants vous accompagnent de la première analyse jusqu'à la mise en production. Échangez 30 minutes avec un consultant pour faire le point sur votre situation.
Questions fréquentes
Comment savoir si mon serveur est réellement vulnérable ?
Demandez à votre hébergeur la version exacte du binaire PHP en cours d'exécution, pas celle affichée dans votre panneau d'administration. Un panneau peut afficher une version récente sans que le serveur ait été mis à jour. Comparez le numéro obtenu avec les seuils publiés le 21 octobre 2026 : 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Mon site WordPress est-il automatiquement protégé par les mises à jour automatiques de WordPress ?
Non. WordPress met à jour son propre code, pas PHP. PHP est géré au niveau du serveur ou de l'hébergeur. C'est une action distincte que seul votre hébergeur ou administrateur système peut effectuer.
Existe-t-il une mesure provisoire si je ne peux pas mettre PHP à jour immédiatement ?
L'équipe PHP elle-même indique qu'aucune mesure provisoire ne garantit une protection complète. La seule réponse fiable reste l'installation des versions corrigées publiées le 21 octobre 2026.
Un site Odoo est-il exposé à ces deux failles ?
Non. Odoo est écrit en Python, pas en PHP. Les CVE-2026-109618 et CVE-2026-109619 concernent exclusivement les serveurs exécutant PHP. Si vous exploitez en parallèle un site WordPress ou PrestaShop sur le même hébergeur, ce site-là reste exposé jusqu'à l'installation du correctif.
Que faire si je veux arrêter de gérer ces alertes à répétition ?
Passer à Odoo supprime le périmètre PHP de votre stack. Vous restez bien sûr responsable des mises à jour Odoo et Python, mais vous gérez un seul environnement cohérent plutôt qu'une accumulation d'extensions hétérogènes. Un échange de 30 minutes avec un consultant ANOR permet d'évaluer la faisabilité pour votre situation.