Un article avec l'étiquette "Sécurité"

Octobre 2026 a apporté deux séries de failles web critiques, et les attaquants s'en sont pris à celles de PHP avant même que le correctif soit public. PHP2Shell (CVE-2026-109618 et CVE-2026-109619) peut permettre à une personne non connectée d'exécuter du code sur un serveur qui fait tourner PHP. PHP l'a corrigée le 21 octobre 2026 dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Une semaine plus tôt, le 14 octobre, Next.js a corrigé deux failles critiques d'exécution de code à distance et une faille de déni de service dans les versions 16.4.1 et 15.5.28. La CISA, l'agence américaine de cybersécurité, a inscrit les deux failles PHP sur sa liste des vulnérabilités exploitées activement le 26 octobre et a donné aux agences fédérales américaines jusqu'au 29 octobre pour appliquer le correctif.

Si votre boutique tourne sur WordPress avec WooCommerce, PrestaShop, Magento, OpenCart, Laravel ou tout autre logiciel PHP sur un hébergement que vous gérez, vous êtes concerné, et mettre à jour vos extensions ne réglera rien. C'est la version de PHP sous la boutique qui doit changer. Ce guide explique ce que fait chaque faille, ce qu'un attaquant peut prendre à une boutique en paiement à la livraison, comment vérifier vos versions et quelle version corrige quoi. Chaque date et chaque version ci-dessous vient des avis des éditeurs et des rapports d'entreprises de sécurité, lus le 29 octobre 2026.