Les failles PHP

PHP fait tourner une grande partie du Web, des sites publics belges aux blogs WordPress. Ce dossier suit les failles PHP2Shell et leurs suites : correctifs, attaques, et état des sites en Belgique.

Où en est-on

• 20 octobre 2026 : les références des failles fuitent, PHP avance la publication de ses correctifs.
• 21 octobre 2026 : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent CVE-2026-109618 et CVE-2026-109619 ; le CCB demande de patcher ou de débrancher, et de nombreux sites publics belges sont coupés.
• 22 octobre 2026 : la PHP Foundation accuse Chainguard d'avoir brisé l'embargo ; Chainguard dément.
• 23 octobre 2026 : une troisième faille, CVE-2026-115560, rare et sans correctif ; PHP conseille session.upload_progress.enabled=0.
• 24 octobre 2026 : premières attaques réussies confirmées, sur des serveurs pièges en PHP 8.4.26.
• 26 octobre 2026 : les sites belges débranchés sont revenus ; l'avis du CCB date toujours du 22 octobre.

Les questions ouvertes

• Combien de sites belges tournent encore avec une version non corrigée ?
• Des sites réels, et pas seulement des pièges, ont-ils été compromis, en Belgique ou ailleurs ?
• Quand sortira le correctif de CVE-2026-115560 ?
• Le CCB et la PHP Foundation publieront-ils un bilan de cette divulgation précipitée ?

État des lieux mis à jour le 26 octobre 2026