Bulletin de sécurité : 21 octobre 2026
À la suite de la publication des vulnérabilités critiques CVE-2026-109618 et CVE-2026-109619, Nuagerie a mené une intervention prioritaire sur sa plateforme d’hébergement cPanel gérée. Notre équipe technique a suivi l’évolution des avis officiels, déployé les correctifs applicables et effectué les contrôles nécessaires pour confirmer leur présence et leur activation dans les environnements PHP concernés.
État de la prise en charge : les correctifs des deux vulnérabilités ont été vérifiés sur toutes les branches PHP installées de cette plateforme. Les protections WAF complémentaires ont également été contrôlées, et les vérifications après déploiement ont été effectuées.
Une réponse coordonnée à une alerte critique
Notre prise en charge s’est appuyée sur les informations publiées par le projet PHP, CloudLinux et cPanel. Les correctifs ayant été distribués progressivement selon les versions et les familles de paquets, notre équipe a vérifié leur disponibilité effective et leur applicabilité à nos environnements avant chaque déploiement.
Cette démarche a associé le suivi des publications de sécurité, la validation des paquets, le déploiement par étapes et les contrôles opérationnels. Elle a permis de traiter les composants concernés avec rigueur tout en vérifiant la préservation des configurations et le comportement des services d’hébergement.
Comprendre les vulnérabilités
Les deux vulnérabilités affectent la gestion de la mémoire et de l’état interne du moteur PHP. Elles sont classées critiques, avec un score CVSS v4 de 9,2, et peuvent permettre l’exécution de code à distance par un attaquant non authentifié sur une installation vulnérable.
- CVE-2026-109618 : un défaut dans la gestion d’un manque de mémoire peut laisser PHP dans un état interne incohérent.
- CVE-2026-109619 : des données internes obsolètes peuvent être réutilisées après la libération de mémoire lors du traitement d’une requête ultérieure.
Les conditions d’exploitation varient selon le mode d’exécution et l’application. Compte tenu de la gravité de ces vulnérabilités, notre réponse a porté sur l’ensemble des branches PHP installées de la plateforme concernée.
Un déploiement encadré, avec validation à chaque étape
Notre équipe a organisé l’intervention autour de plusieurs contrôles complémentaires :
- Suivi des correctifs fournisseurs : consultation des avis officiels et vérifications successives des dépôts pour identifier les versions corrigées effectivement disponibles.
- Validation avant installation : contrôle des signatures des paquets, revue du périmètre des mises à jour et vérification des éléments de récupération et des configurations à préserver.
- Déploiement progressif : installation des correctifs applicables par étapes, suivant leur disponibilité et les différentes familles PHP utilisées par la plateforme.
- Confirmation de la remédiation : vérification explicite des références aux deux CVE dans les journaux de modifications des paquets installés, pour chaque branche PHP concernée.
- Vérification de l’activation : contrôle du renouvellement des processus PHP observés et de l’absence de composants PHP supprimés encore chargés en mémoire.
- Contrôles après intervention : comparaison de l’état des services, de l’intégrité des configurations protégées et du comportement des accès HTTPS contrôlés.
Ces validations permettent de confirmer à la fois l’installation des corrections et leur prise en compte par les processus vérifiés. Elles traduisent notre exigence de traçabilité et de maîtrise des changements apportés à l’infrastructure d’hébergement.
Protections WAF et examen des événements de sécurité
En complément des mises à jour PHP, nous avons vérifié la présence du jeu de règles Imunify360 renforcé pour ces vulnérabilités dans notre pare-feu applicatif Web (WAF). Les événements consultés ont confirmé l’utilisation effective de ce jeu de règles pendant l’intervention.
Ces protections contribuent à détecter et à filtrer les formes connues de tentatives d’exploitation. Leur vérification a accompagné les contrôles des paquets, des processus et des services, afin de disposer de plusieurs éléments concrets sur le fonctionnement des mesures de protection.
Le WAF apporte une couche de défense complémentaire. La correction du moteur PHP demeure essentielle, conformément aux recommandations des fournisseurs. Notre intervention a donc combiné les correctifs à la source, les protections applicatives et les vérifications opérationnelles.
Des vérifications adaptées aux correctifs CloudLinux
CloudLinux distribue certains correctifs par rétroportage : une correction de sécurité peut être intégrée à un paquet sans que le numéro principal de PHP affiché par une application change. L’identification d’une version protégée repose alors sur la version complète du paquet et son journal de modifications.
Nos contrôles ont suivi cette méthode de vérification, décrite dans le suivi officiel CloudLinux. Ils ont porté sur les paquets réellement installés et sur les références explicites aux deux vulnérabilités. L’avis officiel cPanel apporte les précisions relatives aux versions corrigées dans cet environnement.
Ce que cela signifie pour nos clients
Les clients dont les sites utilisent les versions PHP fournies par notre plateforme d’hébergement cPanel gérée n’ont aucune installation manuelle de ces correctifs serveur à effectuer. Nuagerie a pris en charge leur déploiement et leur vérification.
Nous recommandons de maintenir également les applications, CMS, extensions et thèmes à jour. Pour les installations PHP autogérées, les serveurs administrés séparément ou les conteneurs distincts de cette plateforme, les mises à jour doivent être vérifiées auprès du responsable de l’environnement concerné.
Notre équipe de soutien demeure disponible pour les questions relatives aux versions PHP ou au comportement d’un site. En cas d’anomalie, indiquez le site concerné, les symptômes observés et l’heure du constat afin de faciliter l’analyse.
Préciser la suite pour votre application
La réponse de la plateforme décrite ci-dessus donne aux clients un point de référence clair pour discuter de leur propre site. Si votre application utilise aussi un service ou un environnement d’exécution géré séparément, notre équipe peut vous aider à préciser la portée de l’hébergement et à identifier l’administrateur qui devrait vérifier ce composant.
Pour un suivi depuis l’espace client, indiquez l’application ou le site, les éventuels services distincts et la question à éclaircir. Pour un problème de fonctionnement, précisez l’action qui échoue et si elle se reproduit. Ces détails aident à distinguer une question sur la portée du bulletin d’un dépannage de l’application et à orienter la demande.
Références officielles et transparence
Ce bulletin s’appuie sur les publications des éditeurs et sur les vérifications effectuées pendant notre intervention. Les références suivantes permettent de consulter directement les informations techniques d’origine :
- Projet PHP : avis de sécurité officiel.
- CVE-2026-109618 : avis technique PHP et fiche CVE officielle.
- CVE-2026-109619 : avis technique PHP et fiche CVE officielle.
- Dépôt officiel PHP : correctif de la branche 8.3 couvrant les deux vulnérabilités.
- Projet PHP : journal officiel des changements.
La protection de nos clients exige une réponse rapide, des déploiements maîtrisés et des résultats vérifiables. Notre équipe a appliqué ces principes à chaque étape de cette intervention, avec une attention particulière à la sécurité des environnements PHP et à la stabilité des services d’hébergement.
