Le projet PHP a publié mercredi 21 octobre des correctifs contre deux vulnérabilités critiques pouvant permettre l’exécution de code à distance sans authentification. PHP est notamment utilisé pour faire fonctionner WordPress.
Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. L’équipe PHP demande une mise à jour immédiate des installations exposées au Web. Les distributions Linux peuvent aussi proposer des correctifs dans leurs propres paquets.
Pour un propriétaire de site, la démarche consiste à vérifier auprès de son hébergeur que le correctif est appliqué. WordPress précise que ces failles ne lui sont pas spécifiques et qu’aucune mise à jour de son cœur n’est prévue pour les corriger.
Les visiteurs n’ont pas à installer PHP sur leur téléphone. Cette alerte vise le logiciel des serveurs, et ne signifie pas que tous les sites utilisant PHP ont été piratés.
Sources : Avis officiel PHP, 21 octobre 2026 ; Alerte WordPress, 21 octobre 2026. Édition Salade Info du 22 octobre 2026.