Il y a quelques jours, deux failles critiques de PHP ont été identifiées (CVE-2026-109618 et CVE-2026-109619) qui permettaient à un attaquant d’exécuter du code à distance, sans authentification préalable.
Leur révélation a eu lieu le 21 octobre 2026, en amont de la publication par PHP de mises à jour correctives à appliquer sans délai.
Nos actions avant la publication des upgrades
Dès que le périmètre des failles a été connu, nous avons appliqué toutes les mesures de précaution possibles :
- Désactivation du suivi de progression des envois de fichiers (« session upload progress »), la fonction vulnérable aux failles identifiées.
- Mise en place de quatre mesures exceptionnelles supplémentaires :
- limitation de la taille maximale d’une requête d’envoi à 16 Mo
- limitation de la taille maximale d’un fichier envoyé à 8 Mo
- suppression temporaire de la limite de mémoire par script, l’une des failles se déclenchant lorsque cette limite est atteinte
- sur PHP 8.5, désactivation des traces d’erreur détaillées
- Renforcement des règles de notre pare-feu applicatif (Web Application Firewall ou WAF) Imunify360 pour toute notre infrastructure :
- règles WAF 8.83 : blocage du schéma de requête d’attaque connu et détection des tentatives d’exploitation
- règles WAF 8.84 : blocage de l’outil d’attaque rendu public et de schémas de requêtes supplémentaires assimilables
- règles WAF 8.85 : blocage des nouvelles variantes de l’outil d’attaque et détection des requêtes d’envoi de fichiers malformées liées à l’attaque
- En continu : contrôle renforcé des requêtes basé sur la réputation des adresses IP et mise en place automatisée d’un test CAPTCHA pour toutes celles qui recherchent ou exploitent les failles identifiées.
Mise en place des correctifs et retour à la normale
Les éditeurs de logiciels, comme les communautés de développeurs, avaient été prévenus une journée en avance de l’annonce imminente de failles critiques et avaient prévu de mobiliser leurs équipes pour adapter les correctifs à leurs produits.
Ainsi, CloudLinux, l’éditeur du système d’exploitation que nous utilisons sur tous nos serveurs, a mis à jour ses systèmes dans des délais records.
Nous avons pu, à notre tour, appliquer les correctifs à toute l’infrastructure Monarobase dans les heures qui ont suivi, pour toutes les versions utilisables par nos clients – de la version 5.2 à la version 8.5.
Pour ce faire, nos équipes sont intervenues dans la nuit du 21 au 22 octobre et ont déployé sur chacun de nos serveurs les composants corrigés de toutes les versions de PHP utilisables par nos clients.
À aucun moment ces derniers n’ont eu à intervenir ou à changer de version de PHP.
À partir du 22 octobre, les mesures de précaution temporaires, notamment la limite de 8 Mo par fichier envoyé, ont été levées pour que nos clients retrouvent leur environnement d’hébergement tel qu’ils le connaissent : souple, adaptable et évolutif !
