PHP : 218 produits encore vulnerables, inventaire NCSC-NL (28/10/2026)
Le correctif PHP du 21 octobre ne clot pas le dossier. Le 28 octobre, le NCSC-NL recense 218 produits encore vulnerables sur 757 suivis, et un troisieme vecteur reste sans correctif.
En bref
Le 28 octobre 2026, le Centre national de cybersecurite des Pays-Bas (NCSC-NL) a mis a jour son inventaire public des produits touches par les deux failles critiques de PHP publiees le 21 octobre (CVE-2026-109618 et CVE-2026-109619).[1] Sur 757 produits suivis, 218 sont encore classes vulnerables et 144 seulement sont corriges ; 354 restent sous examen.[1] Le CERT-FR, dans la version du 27 octobre de son alerte, constate des tentatives d exploitation sur des deploiements precis et rappelle qu une troisieme faille, CVE-2026-115560, n aura pas de correctif avant le prochain cycle regulier de PHP.[2]
Ce que le correctif du 21 octobre ne regle pas
Le 21 octobre, PHP a publie les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour fermer les deux failles qui permettent une execution de code a distance, sans authentification, sur toute installation PHP qui sert des pages web.[3] Beaucoup de PME ont demande a leur hebergeur si c etait a jour, et se sont arretees la. L inventaire du 28 octobre montre que la question est mal posee : le site vitrine n est souvent qu un produit parmi d autres. PHP est aussi embarque dans des appliances, des interfaces d administration et des logiciels metier que l administrateur ne met pas a jour lui-meme.[1]
Le CERT-FR, le 27 octobre, precise deux choses utiles. D abord, il observe des tentatives d exploitation des deux failles du 21 octobre, limitees a des deploiements specifiques, et il a connaissance de preuves de concept depuis le 22 octobre.[2] Ensuite, la troisieme faille, annoncee par PHP le 23 octobre, exige une combinaison inhabituelle de configuration et de code applicatif ; PHP la juge peu probable et reporte le correctif au prochain cycle.[2][3] Peu probable n est pas nul : tant que le correctif n est pas sorti, le reglage de contournement indique par PHP reste en place.
Ce que ca change pour une PME, pays par pays
Le moteur est le meme dans les quatre pays. Ce qui change, c est a qui signaler un incident et comment lire l obligation de mise a jour.
- Pays-Bas. Le NCSC-NL tient l inventaire de reference, mis a jour le 28 octobre a 16 h 22 (heure de Paris).[1] Une entite couverte par la Cyberbeveiligingswet signale un incident au NCSC et a son autorite sectorielle, selon le regime deja en vigueur. Une PME hors perimetre n a pas cette obligation legale, mais le meme depot lui dit quels logiciels de son parc sont encore ouverts.
- France. L alerte de reference est CERTFR-2026-ALE-014, dont la derniere version date du 27 octobre.[2] Un incident se signale au CERT-FR. La transposition de NIS2 n etant pas achevee, l obligation de signalement NIS2 ne s applique pas encore de la meme facon qu aux Pays-Bas ou en Belgique : cela ne dispense pas de corriger un site expose.
- Belgique. Le Centre pour la cybersecurite Belgique (CCB) est le point de signalement pour les entites essentielles et importantes deja soumises a la loi NIS2 belge. Une PME hors perimetre signale une compromission a son prestataire et, si des donnees personnelles fuient, a l Autorite de protection des donnees.
- Luxembourg. L Institut luxembourgeois de regulation (ILR) supervise les entites NIS2 ; le point de contact incident pour les autres organisations passe par le CIRCL. Le regime de signalement d une fuite de donnees personnelles reste celui de la CNPD, distinct de la faille technique.
Le troisieme vecteur, celui que le correctif ne ferme pas
Le 23 octobre, PHP a publie un avis informatif, pas un correctif : tant que la version suivante n est pas sortie, il recommande de desactiver la progression des televersements de session (session.upload_progress.enabled=0) pour fermer un vecteur juge peu probable, identifie CVE-2026-115560.[3] PHP precise que le risque n apparait que si l application change le gestionnaire de serialisation des sessions au moment de l execution, et seulement si cette progression reste activee. Une application qui ne change jamais ce reglage peut le laisser actif.[3] Le CERT-EU, dans la version 1.2 de son avis du 23 octobre, reprend la meme ligne : pas de publication hors cycle, application du contournement.[4]
Un second detail, date du 26 octobre, concerne surtout les serveurs Windows : PHP a reconstruit ses paquets Windows (suffixe -1) pour y integrer Brotli 1.2.1, qui corrige une ecriture hors limites dans la decompression, joignable via l extension cURL quand la decompression automatique des reponses HTTP est activee.[3] Ce n est pas la meme faille que celles du 21 octobre. Une PME dont le site tourne sous Windows doit donc demander le paquet reconstruit, pas seulement le numero de version PHP.
A faire cette semaine
Cinq verifications, dans l ordre.
- Demander a l hebergeur la version exacte de PHP du site, pas un oui vague. Les versions corrigees des deux failles du 21 octobre sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les branches 8.1 et plus anciennes ne recoivent plus de mise a jour du projet PHP : il faut un correctif retroporte du fournisseur, ou une migration.[3]
- Lister les autres logiciels qui embarquent PHP : boutique, formulaire, outil de devis, interface du pare-feu, appliance du prestataire. Le NCSC-NL en suit 757 ; 218 etaient encore vulnerables au 28 octobre.[1]
- Tant que le prochain cycle PHP n est pas installe, faire desactiver la progression des televersements de session, puis redemarrer les processus PHP. Ce reglage ne remplace pas la mise a jour des deux failles du 21 octobre.[3]
- Sous Windows, exiger le paquet reconstruit du 26 octobre (suffixe -1), pas seulement le bon numero de version.[3]
- Si le site a ete expose sans correctif depuis le 21 octobre, ne pas se contenter de mettre a jour : faire verifier les journaux du serveur sur cette periode, et preparer le signalement (NCSC aux Pays-Bas, CERT-FR en France, CCB en Belgique, CIRCL et ILR au Luxembourg) si une compromission est confirmee.
Chez CyberNovaLabs.io
Une mise a jour de site ne se devine pas depuis l exterieur, et un inventaire de 757 produits ne se lit pas en dix minutes. CyberNovaLabs.io verifie la version reellement servie, le logiciel embarque et le contournement encore ouvert, puis remet une liste courte de ce qui reste a faire. Le detail de l offre de cybersecurite est sur la page cybersecurite pour PME ; pour un point sur votre site, prenez rendez-vous. Deux lectures liees : les failles critiques PHP du 21 octobre et la faille Brotli corrigee dans les paquets Windows.
Sources
- NCSC-NL, depot php2shell, point operationnel du 28 octobre 2026 (757 produits suivis, 218 vulnerables, 144 corriges)
- CERT-FR, alerte CERTFR-2026-ALE-014, derniere version du 27 octobre 2026
- PHP.net, avis informatif du 23 octobre 2026 (CVE-2026-115560) et paquets Windows du 26 octobre 2026
- CERT-EU, avis 2026-018, version 1.2 du 23 octobre 2026
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Cyberattaque au SPF Finances : echeance repoussee (28/10/2026)
Quatre jours sans MyMinfin, Tax-on-Web ni Biztax, et une date limite qui, elle, ne bougeait pas. Aucune donnee n'est sortie : le cout est ailleurs. Ce que la cyberattaque du SPF Finances change concretement pour une PME en Belgique, en France, aux Pays-Bas et au Luxembourg.
Lire l'article →3 novembre 2026 · 9 min de lectureAI Act : ce que les PME doivent savoir en 2026
Applicable depuis le 2 août 2026, l'AI Act tient en trois obligations pour une PME qui achète de l'IA. Les règles lourdes de l'annexe III, elles, attendront le 2 décembre 2027. Voici les dates, les plafonds d'amende réellement opposables à une PME, et qui contrôle aux Pays-Bas, en Belgique, en France et au Luxembourg.
Lire l'article →30 octobre 2026 · 8 min de lectureIA en PME : les 5 taches a automatiser en premier
20,0 % des entreprises europeennes de 10 salaries et plus utilisaient l'IA en 2025, contre 13,5 % un an plus tot. Les usages mesures donnent un ordre de priorite clair pour une PME : cinq taches, dans cet ordre, et trois a laisser de cote.
Lire l'article →30 octobre 2026 · 7 min de lectureNIS2 Luxembourg : les cabinets d'avocats sont-ils concernés ?
Un cabinet d'avocats luxembourgeois n'est pas une entité NIS2. Trois portes latérales de la loi du 5 mai 2026 l'atteignent quand même, et l'article 35 de la loi de 1991 lui impose une contrainte que la loi cyber ignore.
Lire l'article →29 octobre 2026 · 9 min de lecturePrise de rendez-vous B2B : immobilier et gestion locative
Agences, administrateurs de biens, syndics : la prise de rendez-vous B2B est permise dans les quatre pays, mais le code de deontologie belge suit votre prestataire et le droit neerlandais change selon la forme juridique de l'appele. Ce qu'il faut verifier avant le premier appel.
Lire l'article →27 octobre 2026 · 7 min de lectureFaille Brotli : Node.js puis .NET corrigés en urgence (25/10/2026)
Une faille Brotli a provoqué deux correctifs séparés en quatre jours, chez Node.js puis chez Microsoft. Le défaut n'appartient à aucun des deux : il vient d'une bibliothèque de Google que l'un et l'autre embarquent. Pour une PME, la bonne question n'est pas « est-ce que j'utilise Node.js ? » mais « que contient le logiciel que je fais tourner, et qui le met à jour ? ».
Lire l'article →