Votre site annonce-t-il une version PHP corrigée ?
Le 21 octobre 2026, php.net a publié PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12. Ces versions corrigent deux failles (CVE-2026-109618 et CVE-2026-109619) qui permettent d'exécuter du code à distance, sans authentification, sur un PHP qui sert des pages web. Les branches 8.1 et antérieures n'ont pas de version corrigée officielle : la solution durable est une montée de version. Source : annonce de php.net.
L'outil fait deux requêtes ordinaires (la page d'accueil et une page inexistante) et lit les en-têtes que le serveur envoie à tout visiteur. Il ne teste aucune faille. Analysez seulement vos sites ou ceux dont vous avez la charge.
À lire avant de conclure. Les distributions Linux (Debian, Ubuntu, RHEL…) rétroportent souvent les correctifs de sécurité sans changer le numéro affiché : un numéro ancien ne prouve pas qu'un site est exposé. À l'inverse, une version masquée ne dit rien : elle peut être à jour ou non. Cet outil compare un numéro annoncé, il ne teste aucune faille.
Les versions corrigées
| Branche | Version corrigée |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 et avant | pas de version officielle corrigée |
Versions publiées le 21/10/2026, d'après php.net.
Besoin d'une vérification fiable ?
Un en-tête ne remplace pas un contrôle sur le serveur. Je vérifie la version réellement installée, j'applique la mise à jour ou les mesures temporaires recommandées par php.net, puis je contrôle que rien n'a été modifié sur le site. J'ai mené cette mise à jour, à titre préventif, sur huit projets PHP.
Diagnostic d'exposition à 150 €, mise à jour corrective à 350 € par serveur. Prix nets, TVA non applicable (art. 293 B du CGI).