Cybersécurité : deux failles critiques dans PHP, le Maroc et la Tunisie lancent l’alerte

Les mainteneurs du langage PHP ont publié le 21 octobre 2026 des correctifs d’urgence pour deux failles critiques qui permettent d’exécuter du code à distance sur un serveur. Au Maghreb, l’autorité marocaine de sécurité des systèmes d’information et l’agence tunisienne de cybersécurité ont aussitôt diffusé des alertes.

Annoncée le 20 octobre par l’équipe de sécurité de PHP, la mise à jour a été publiée le lendemain. Elle corrige deux vulnérabilités qui permettent, selon l’éditeur, d’exécuter du code arbitraire à distance. PHP est le langage sur lequel reposent des outils de publication très répandus comme WordPress, Joomla ou Drupal, utilisés par de nombreux sites institutionnels, médias et entreprises.

Ce que corrigent les mises à jour

D’après les bulletins publiés sur php.net, la première faille (CVE-2026-109618) est liée à une saturation de la mémoire pendant l’initialisation des données d’une requête. La seconde (CVE-2026-109619) tient à un état interne qui survit à la libération de la mémoire et peut être réutilisé par la requête suivante. L’éditeur juge le risque maximal pour les serveurs qui utilisent le module mod_php, où un exploit démontré peut être déclenché par une requête non authentifiée.

Dans son alerte mise à jour le 22 octobre, le CERT-FR, centre gouvernemental français de veille et de réponse aux attaques informatiques, indique avoir connaissance de preuves de concept pour les deux failles. Il recommande d’isoler les équipements concernés et de migrer vers une version maintenue. Pour les branches 7.4, 8.0 et 8.1, qui ne sont plus supportées, PHP signale seulement des correctifs minimaux sur GitHub.

Alertes au Maroc et en Tunisie

Au Maroc, la Direction générale de la sécurité des systèmes d’information (DGSSI) a classé l’impact et le risque au niveau maximal dans un bulletin publié le 21 octobre, rapporte Hespress. En Tunisie, l’Agence nationale de la cybersécurité (ANCS) a diffusé le même jour le bulletin tunCERT/Vuln.2026-657, selon La Presse de Tunisie.

Le quotidien tunisien rappelle un point souvent mal compris : mettre à jour WordPress ou ses extensions ne suffit pas, le correctif doit être appliqué à PHP sur le serveur. Pour les sites qui ne peuvent pas être mis à jour immédiatement, l’équipe de PHP propose des mesures provisoires, comme la désactivation de l’option session.upload_progress.enabled ou la limitation de la taille des requêtes. Elle précise que ces mesures réduisent l’exposition sans rendre l’installation sûre.

Un enjeu pour les sites sénégalais

Les sites d’administrations, de médias et d’entreprises sénégalais qui tournent sur une version non corrigée de PHP sont concernés au même titre. Sur les hébergements mutualisés, la mise à jour du langage relève en général du prestataire, ce qui impose aux éditeurs de sites de vérifier la version effectivement installée.

Le sujet intervient alors que le Sénégal prépare la mise en place d’une Autorité nationale de cybersécurité, et que des services publics ont été visés ces derniers mois, comme lors des cyberattaques contre la Direction de l’automatisation des fichiers (DAF).

D’autres avis sont attendus. Le 23 octobre, PHP a signalé un troisième problème, CVE-2026-115560, limité à certaines configurations de sessions, qui sera traité dans la prochaine version corrective.

À lire aussi

• Cyber-risque portuaire : l’alerte de Los Angeles interpelle le Sénégal et le Port autonome de Dakar
• « La confiance numérique ne se décrète pas. Elle se construit, se protège et se mérite. » Elhadji Wack NDIAYE