SiteGround agit rapidement pour protéger ses clients avant la publication de la mise à jour de sécurité critique de PHP

PHP a annoncé deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur l’échelle CVSS v4.0. PHP les a corrigées dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées le 21 octobre 2026. Selon W3Techs, PHP fonctionne sur 69,3 % des sites web dont le langage côté serveur est connu, y compris les sites WordPress. Une faille dans le langage lui-même peut donc avoir des répercussions bien plus importantes qu’un bug dans un plugin ou un thème particulier.

Si votre site est hébergé chez SiteGround, vous êtes déjà protégé. Notre équipe de sécurité a mis en place des mesures de protection sur tous nos serveurs avant la publication officielle, puis appliqué les correctifs officiels de PHP le jour même. Vous n’avez rien à faire.

Points clés en un coup d’œil

• Ce qui s’est passé : PHP a divulgué deux vulnérabilités critiques dans le langage lui-même, CVE-2026-109618 et CVE-2026-109619.
• Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées le 21 octobre 2026.
• Pour les clients SiteGround : protection mise en place avant la publication, correctifs officiels appliqués ensuite. Aucune mise à jour, modification des réglages ou changement de version de PHP n’est nécessaire.
• Pour les sites hébergés ailleurs : mettez PHP à jour vers une version corrigée dès maintenant.

Les mesures déjà prises par SiteGround

Après avoir reçu l’avis préalable de PHP, notre équipe de sécurité a analysé les informations disponibles et déployé des règles d’atténuation au niveau des serveurs sur l’ensemble de notre infrastructure. Nous avons désactivé les fonctionnalités concernées sur toutes les versions de PHP prises en charge. Dès que PHP a publié les correctifs le 21 octobre, nous les avons appliqués sur tous les serveurs SiteGround.

Vous n’avez aucune mise à jour à effectuer ni aucune version de PHP à modifier. Comme notre plateforme est entièrement infogérée, nous appliquons ces mesures directement au niveau des serveurs. Votre site bénéficie donc automatiquement de cette protection.

Pourquoi intervenir avant la publication du correctif est essentiel

La période la plus risquée pour une vulnérabilité critique est celle qui suit immédiatement la publication des détails techniques, lorsque les attaquants commencent à rechercher les serveurs qui n’ont pas encore été mis à jour. En intervenant avant la publication officielle, nous avons déjà sécurisé nos serveurs lorsque cette période à risque commence. Nous continuerons à surveiller la publication du correctif et prendrons toute mesure supplémentaire nécessaire pour protéger vos sites.

Ce que nous savons sur CVE-2026-109618 et CVE-2026-109619

PHP a annoncé la mise à jour de sécurité dans un avis préalable sur php.net le 20 octobre 2026. Dans cet avis, PHP a confirmé :

• Deux vulnérabilités critiques, chacune notée 9,2 sur l’échelle CVSS v4.0.
• La publication d’un correctif de sécurité prévue le 21 octobre 2026 à 14 h UTC.
• La publication des détails techniques complets, des versions concernées et des versions corrigées au moment de la sortie du correctif.

PHP a depuis publié tous les détails dans son avis de sécurité. Les deux vulnérabilités peuvent permettre l’exécution de code à distance sans authentification et sont corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Si vous utilisez PHP en dehors de SiteGround

Si vous utilisez PHP chez un autre hébergeur, sur votre propre serveur ou dans un environnement de développement local, suivez les recommandations de PHP et effectuez la mise à jour dès que les versions corrigées sont disponibles. Consultez php.net pour accéder à l’avis officiel et à la liste des versions corrigées.

Une sécurité proactive dès la conception

Nous avons pu intervenir avant la publication du correctif grâce à la manière dont nous gérons notre plateforme :

• Une équipe de sécurité interne. Nos spécialistes surveillent les annonces de vulnérabilités 24h/24 et évaluent les nouvelles menaces dès que des informations sont disponibles.
• Des ingénieurs mobilisables 24h/7j. Nous déployons les mesures de protection dès qu’elles sont prêtes, sans attendre le prochain jour ouvré.
• Une infrastructure de serveurs entièrement infogérée. Nous exploitons et entretenons nous-mêmes notre infrastructure d’hébergement. Nous pouvons ainsi déployer des protections sur l’ensemble de nos serveurs en une seule fois, sans attendre que chaque propriétaire de site intervienne.

Nous avons appliqué la même approche lors de précédents incidents cette année : nous avons corrigé cinq failles exploitant le noyau Linux en 48 heures, sans aucune interruption de service, et mis à jour UpdraftPlus sur tous les sites WordPress concernés en moins d’une heure.

Protection qui n’attend pas

La plupart de nos actions en matière de sécurité ne font jamais l’objet d’un article de blog. Nous surveillons, corrigeons et renforçons nos serveurs chaque jour, que des vulnérabilités fassent l’actualité ou non.

Nous consacrons un article à cette publication parce que PHP est utilisé par un très grand nombre de sites web. Mais notre réaction suit notre approche habituelle : détecter les risques le plus tôt possible, intervenir au niveau de nos serveurs et continuer à protéger votre site sans ajouter de tâches à votre liste de choses à faire.

En choisissant notre hébergement, vous nous confiez cette responsabilité : vous n’avez pas à vous en occuper. Notre équipe de support est disponible 24h/7j pour répondre à vos questions.

Foire aux questions