Failles PHP « php2shell » : nos services n'utilisent pas PHP
Deux failles critiques de PHP ont été rendues publiques le 21 octobre 2026. Nous avons vérifié nos services : aucun n'utilise PHP.
Le 21 octobre 2026, deux failles critiques de PHP (CVE-2026-109618 et CVE-2026-109619) ont été rendues publiques. Elles peuvent permettre de prendre le contrôle, à distance et sans authentification, d’un serveur web qui exécute du PHP. Leur gravité est notée 9,2 sur 10 (CVSS 4.0). La presse spécialisée les désigne sous le nom « php2shell ».
Nous avons vérifié l’ensemble de nos services et de nos serveurs : aucun n’utilise PHP. À notre connaissance, SouverainCode, Archipel, profAI, Luce, GenIA, Toge et nos SouverainBox ne sont donc pas exposés à ces failles, et ils fonctionnent normalement.
Si votre organisation exploite un site ou une application en PHP (par exemple WordPress), installez sans attendre la version de sécurité de votre branche (PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12) ou demandez-la à votre hébergeur.
Sources : annonce du projet PHP, avis de sécurité du projet GHSA-w8hw-w9fx-j79w et GHSA-6wmf-4rv5-p3rp.
SouverainCodeSouverainBoxArchipel DesktopLuceProfAIGenIAToge