Mise à jour de sécurité critique pour PHP : ce que fait Upsun

Mise à jour : Suis cet incident sur la page d'état d'Upsun.

PHP va publier des correctifs pour deux failles critiques le mercredi 21 octobre 2026 à 14 h 00 UTC. PHP attribue à chacune d'elles une note de 9,2 selon le CVSS v4.0. Les détails techniques, les versions concernées et les versions corrigées seront communiqués lors de la publication, et PHP indique qu'il les diffusera plus tôt si des informations fuient ou si quelqu'un commence à exploiter ces failles.

Des chercheurs de Huntress et Sansec ont associé cette publication aux CVE-2026-109618 et CVE-2026-109619, et la presse a baptisé ce duo « php2shell ». Personne n’a encore signalé d’exploitation.

Ce qu’on a fait

Notre équipe de sécurité a mis en place des mesures préventives pour toutes les applications PHP hébergées sur Upsun Cloud. On travaille activement à renforcer la protection de tes applications, que l’image PHP ait été corrigée ou non.

Tu n’as rien à faire pour l’instant.

Prochaines étapes

En plus de la protection au niveau de la périphérie, on commencera à mettre à jour et à corriger nos images d’exécution PHP, aussi rapidement et de manière aussi fiable que possible, dès que PHP aura publié la mise à jour. On partagera tous les détails sur le centre des développeurs Upsun : quelles versions sont corrigées, quand les images d’exécution corrigées seront disponibles pour tes projets, et si tu dois prendre des mesures. On mettra cet article à jour au fur et à mesure du déploiement, et on mettra un lien vers celui-ci ici.

Si tu utilises une version de PHP en fin de vie

PHP ne corrige que les branches prises en charge. Les correctifs en amont couvrent les versions PHP 8.2 à 8.5. PHP 8.1 et les versions antérieures sont en fin de vie ; si elles sont concernées, PHP ne les corrigera donc pas.

Les mesures d’atténuation protègent également ces versions, mais elles ne remplacent pas un environnement d’exécution corrigé. Si tu utilises la version 8.1 ou une version plus ancienne, passe dès maintenant à une version plus récente pour t’assurer de recevoir automatiquement les derniers correctifs de sécurité dès leur publication. Sur Upsun, il suffit d’ajouter une ligne dans le fichier .upsun/config.yaml :

applications:
  myapp:
    type: "php:8.4"

Envoie la modification vers un environnement de test, teste-la sur une copie des données de production, puis fusionne-la.

Où trouver les mises à jour

L'état d'avancement du déploiement et les détails techniques seront disponibles sur le centre des développeurs. L'annonce officielle de PHP se trouve sur php.net. Pour toute question concernant un projet spécifique, ouvre un ticket d'assistance depuis la console Upsun.