Notre site web et notre espace client après 14 minutes, les serveurs Webspace après 27 minutes : voici comment nous avons réagi aux mises à jour PHP du 21 octobre.
En matière de failles de sécurité, chaque heure compte ! ⚡️ Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité pour deux vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619). Dans certaines conditions, elles pouvaient permettre à des attaquants d’exécuter à distance leur propre code sur un serveur web utilisant PHP. Le problème ne concerne pas spécifiquement ZAP-Hosting : PHP est utilisé par une grande partie d’Internet, et ces failles touchent des sites web et des serveurs web dans l’ensemble du secteur de l’hébergement.
- Type de faille : exécution de code à distance, c’est-à-dire l’exécution de code malveillant sur le serveur au moyen d’une requête spécialement conçue.
- Corrigées dans : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
- Sans correctif : le projet PHP ne fournit plus de mises à jour de sécurité pour PHP 8.1 et les versions antérieures. Ces versions ne recevront donc pas non plus de correctif pour ces failles.
La publication des mises à jour avait été annoncée à l’avance. Notre équipe infrastructure a profité de ce délai pour recenser les systèmes utilisant PHP : de notre site web et de l’espace client aux serveurs Webspace, en passant par les interfaces phpMyAdmin de nos produits de base de données et nos services internes. Avant la publication, nous avons mis en place des mesures de protection temporaires et activé des règles de filtrage supplémentaires à la périphérie de notre réseau. Le vecteur d’attaque connu était ainsi déjà limité avant la disponibilité du correctif.
Comme tout était prêt, le déploiement a été rapide après la publication : notre site web et l’espace client utilisaient la nouvelle version au bout d’environ 15 minutes, et les serveurs Webspace en un peu moins d’une demi-heure. Même sous pression, nous avons procédé étape par étape et testé chaque modification au préalable. Nos autres systèmes ont suivi le même jour.
Nous avons migré vers PHP 8.2 les espaces Webspace qui utilisaient encore PHP 7.4, 8.0 ou 8.1, car aucun correctif n’est disponible pour ces anciennes versions. Nous avons informé les clients de cette migration par une actualité de service dans l’espace client et par e-mail. La plupart des sites web continueront de fonctionner sans aucune modification. Si ton application nécessite des ajustements pour la nouvelle version de PHP, notre support se fera un plaisir de t’aider.
Nos mises à jour couvrent les services que nous gérons pour toi. Sur ton propre VPS, serveur dédié ou tout autre système que tu exploites toi-même, tu es responsable des logiciels installés, que le système soit hébergé chez nous, chez un autre fournisseur ou à ton domicile. Si PHP y est utilisé, par exemple pour un site web, un forum, un panneau de contrôle ou dans un conteneur Docker, vérifie la situation dès maintenant :
- Vérifie la version de PHP utilisée sur ton serveur. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12, ou toute version ultérieure.
- Installe toi-même les mises à jour à l’aide du gestionnaire de paquets de ton système d’exploitation.
- Conteneurs Docker utilisant PHP : récupère les images les plus récentes ou reconstruis-les, puis redémarre les conteneurs. Une mise à jour du système hôte ne met pas à jour PHP dans le conteneur.
- Redémarre PHP-FPM ou le serveur web ensuite, afin que les processus en cours utilisent bien la nouvelle version.
- Si tu utilises encore PHP 8.1 ou une version antérieure, prévois une mise à niveau vers une version prise en charge. Ces versions ne recevront plus de correctif.
Ce n’est pas un cas isolé. En août, nous avons sécurisé notre infrastructure KVM contre Zapscape et Januscape, deux vulnérabilités qui pouvaient, dans certaines conditions, permettre à une machine virtuelle de sortir de son environnement isolé. À chaque fois, le principe est le même : évaluer rapidement la situation, sécuriser immédiatement et installer un correctif dès qu’une solution stable est disponible. La recherche en sécurité ne s’arrête jamais, pas plus que notre travail pour protéger nos services.
Source préférée sur Google
