Corriger le problème

Corriger les failles PHP – étape par étape

Indiquez où tourne votre site. Nous vous montrons précisément quoi faire – ou Denkcode s’en charge pour vous.

Choisissez votre situation ci-dessous, sous « Tous les guides ».

Vous n’avez pas encore vérifié si vous êtes concerné ? Vérifiez d’abord rapidement

L’objectif : au moins cette version

PHP 8.2à partir de 8.2.35
PHP 8.3à partir de 8.3.36
PHP 8.4à partir de 8.4.27
PHP 8.5à partir de 8.5.12

Valable pour CVE-2026-109618 et CVE-2026-109619. PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour – seul le passage à une branche plus récente est possible.

Avant

Avant de commencer

Faire une sauvegarde : sauvegardez les fichiers et la base de données – la plupart des hébergeurs proposent une fonction de sauvegarde dans l’espace client.
Noter la version actuelle : déterminez-la avec le fichier de vérification afin de pouvoir comparer avant et après.
Rester dans la même branche est le plus simple : une mise à jour de 8.3.20 vers 8.3.36, par exemple, n’apporte que des corrections de bogues. Un changement de branche (par ex. 8.1 → 8.3) doit être testé au préalable.

Pour référence

Tous les guides

Touchez votre situation. En cas de doute : si vous disposez d’un espace client chez un hébergeur et d’aucun accès SSH au serveur, il s’agit presque toujours d’une « offre d’hébergement web ».

Hébergement web partagéEspace client chez un hébergeur, pas de serveur dédié – la configuration la plus fréquente

Sur une offre mutualisée (p. ex. 1blu, IONOS, OVH, Infomaniak, o2switch, Strato), le fournisseur déploie les mises à jour de sécurité. Votre rôle consiste uniquement à sélectionner la branche PHP.

Connectez-vous à l'espace client de votre hébergeur.
Ouvrez votre formule d'hébergement et cherchez « Version de PHP » ou « Paramètres PHP » (parfois sous « Domaines » ou « Configuration »).
Vérifiez quelle version PHP est sélectionnée. S'il s'agit de la version 8.1 ou antérieure, choisissez PHP 8.3 ou 8.4 et enregistrez. Sinon, restez sur votre branche – l'hébergeur déploie les correctifs mineurs.
Vérifiez avec le fichier de contrôle si une version corrigée (8.2.35, 8.3.36, 8.4.27, 8.5.12) est actif. Dans le cas contraire : écrivez à votre hébergeur (modèle ci-dessous).

PleskPanneau d'administration Plesk

Se connecter à Plesk → Sites Web & Domaines → sélectionner votre domaine.
Cliquer sur « PHP » ou « Paramètres PHP ».
Sous « Version de PHP », choisir 8.3 (ou plus récent), conserver l'exécution en « Application FPM », puis cliquer sur OK.
En tant qu'administrateur du serveur : ouvrir Outils & Paramètres → Mises à jour et installer les mises à jour disponibles des composants PHP (intitulé selon la version de Plesk).
Contrôler avec le fichier de vérification si une version corrigée (8.2.35, 8.3.36, 8.4.27, 8.5.12) fonctionne.

cPanelPanneau d'administration cPanel / WHM

Se connecter à cPanel et ouvrir « Gestionnaire MultiPHP » (parfois intitulé « Sélectionner la version de PHP » ou « Select PHP Version »).
Cocher votre domaine, choisir PHP 8.3 (ou plus récent) et cliquer sur Appliquer.
Le correctif de sécurité est appliqué par l'hébergeur ou l'administrateur du serveur (dans WHM via les mises à jour système).
Contrôler avec le fichier de vérification si une version corrigée (8.2.35, 8.3.36, 8.4.27, 8.5.12) est en place. Sinon : contacter l'hébergeur (texte ci-dessous).

Serveur dédié : Ubuntu ou DebianAccès par SSH, paquets via apt

Exemple pour PHP 8.3 – remplacez 8.3 par votre branche. Dans le résultat de la vérification, l’assistant insère automatiquement votre version.

Lister les paquets PHP installés :
```
dpkg -l | grep -E '^ii +php[0-9.]+-(fpm|cli|common)'
```
Actualiser les dépôts et mettre à jour les paquets PHP de cette branche :
```
sudo apt update && sudo apt install --only-upgrade 'php8.3*'
```

Redémarrer les processus PHP :

sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2   # ou: sudo systemctl restart nginx

Vérifier la version :
```
php8.3 -v
```
La ligne de commande peut différer – le résultat du fichier de contrôle fait foi.
Si la version reste inférieure au correctif (cas fréquent avec les paquets de distributions), vérifiez si le correctif a été rétroporté :
```
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961[89]'
```
Si les deux identifiants CVE apparaissent, le correctif est présent. Sinon, installez des paquets depuis un dépôt à jour (p. ex. Ondřej Surý) ou demandez à votre administrateur.

Serveur dédié : AlmaLinux, Rocky, RHELAccès par SSH, paquets via dnf

Exemple pour PHP 8.3 – remplacez 8.3 par votre branche. Dans le résultat de la vérification, l’assistant insère automatiquement votre version.

Mettre à jour les paquets PHP (p. ex. depuis Remi ou AppStream) :
```
sudo dnf upgrade 'php*'
```

Redémarrer PHP-FPM et le serveur web :

sudo systemctl restart php-fpm
sudo systemctl restart httpd   # ou: sudo systemctl restart nginx

Si la version reste sous le niveau requis, contrôler le rétroportage :
```
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961[89]'
```
Contrôler avec le fichier de vérification si une version corrigée (8.2.35, 8.3.36, 8.4.27, 8.5.12) fonctionne.

DockerPHP tourne dans un conteneur

Exemple pour PHP 8.3 – remplacez 8.3 par votre branche. Dans le résultat de la vérification, l’assistant insère automatiquement votre version.

Dans le Dockerfile, basculez l'image de base vers la version corrigée (choisir la variante -fpm, -apache ou -cli correspondante) :
```
FROM php:8.3.36-fpm
```
Dès que l'image officielle est publiée ; alternativement, récupérer à nouveau php:8.3-fpm.
Reconstruire l'image et redémarrer le conteneur :
```
docker compose build --pull
docker compose up -d
```
Contrôler la version à l'intérieur du conteneur (adapter le nom du service) :
```
docker compose exec app php -v
```

Mise à jour impossible ?

Écrivez à votre hébergeur – le texte est prêt

Si vous ne pouvez pas modifier la version vous-même ou si le correctif n’est pas encore disponible, copiez ce texte, complétez le domaine et votre nom, puis envoyez-le à votre fournisseur.

Bonjour,

pour mon site web [VOTRE DOMAINE], je souhaite combler les vulnérabilités de sécurité critiques de PHP CVE-2026-109618 et CVE-2026-109619 (publiées le 21/10/2026). D'après le projet PHP, elles sont corrigées dans ces versions : PHP 8.2 : dès 8.2.35, PHP 8.3 : dès 8.3.36, PHP 8.4 : dès 8.4.27, PHP 8.5 : dès 8.5.12.

Pourriez-vous s'il vous plaît
1. faire basculer mon site vers une version corrigée ou installer la mise à jour et me confirmer la version exacte, ou
2. me confirmer que votre paquet comprend un correctif de sécurité rétroporté pour ces deux CVE ?

Dans quel délai cela peut-il être réalisé ?

Merci par avance pour votre aide et cordialement,
[VOTRE NOM]

Après

Vérifier que tout a fonctionné

Redémarrez les processus PHP ou attendez quelques minutes que l’hébergeur ait appliqué le changement.
Ouvrez le site dans le navigateur et testez rapidement les pages et formulaires les plus importants.
Effectuez une nouvelle vérification confirmée avec le fichier de vérification – il indique la version que votre site exécute réellement.
Supprimez ensuite le fichier de vérification.

Cas particulier

Ancienne version (PHP 8.1 ou antérieure)

Le projet PHP ne fournit plus de mises à jour de sécurité pour ces branches. Un passage à 8.3 ou 8.4 peut perturber d’anciennes extensions, d’anciens thèmes ou du code personnalisé. Voici comment procéder en toute sécurité :

Faites une sauvegarde.
Mettez d’abord à jour le CMS (par ex. WordPress, Shopware, TYPO3), les extensions et les thèmes.
Si possible, basculez d’abord une copie de test (staging) – de nombreux hébergeurs le proposent en un clic.
Changez la version de PHP, puis testez le site en profondeur. En cas de problème, le réglage peut généralement être rétabli immédiatement dans l’espace client.

Important

Une mise à jour ne supprime pas une attaque antérieure

Les deux failles sont restées ouvertes jusqu’à leur publication le 21/10/2026. La mise à jour les corrige pour l’avenir, mais ne supprime rien de ce qui a pu être introduit auparavant. Soyez attentif aux fichiers inconnus, aux nouveaux comptes administrateur ou à tout comportement inhabituel et, en cas de doute, faites examiner le serveur par des spécialistes.

Vous préférez déléguer ?

Denkcode vérifie le niveau réel de PHP et vous aide pour la mise à jour. Écrivez à anfrage@php-checker.de ou appelez-nous.

Contacter Denkcode