CVE-2026-109618 et CVE-2026-109619
Deux nouvelles failles dans PHP 8.2 à 8.5 permettent à un attaquant d’exécuter son propre code sur le serveur de votre boutique sans authentification et d’accéder aux données clients et aux paiements. Elles touchent les boutiques en ligne sous PrestaShop, WooCommerce, Magento, Shopware, OXID et d’autres systèmes PHP. Le pare-feu SecureCommerce bloque ces attaques avant qu’elles n’atteignent votre boutique, même tant que la mise à jour de PHP n’est pas faite.
Le pare-feu bloque les attaques même si votre serveur tourne encore sous l’ancienne version de PHP.
Vous testez la mise à jour de PHP sereinement et l’installez quand cela vous convient, au lieu de corriger dans l’urgence en pleine nuit.
Vous n’avez rien à configurer. Les règles de filtrage auto-apprenantes du pare-feu SecureCommerce s’adaptent automatiquement aux nouvelles attaques.
Lorsque PHP manque de mémoire, il interrompt brutalement le traitement en cours. Dans certains cas, la mémoire de la requête n’est pas encore initialisée. Le nettoyage qui suit travaille alors avec ces données indéfinies, ce qui peut être exploité pour injecter du code.
L’état global de PHP peut continuer à pointer vers une mémoire déjà libérée à la fin d’une requête. Les requêtes suivantes lisent ces données obsolètes avant leur réinitialisation, ce qui peut aussi mener à l’exécution de code étranger.
Qui peut exécuter du code sur le serveur de la boutique accède aux données clients et aux interfaces de paiement. Il peut modifier les adresses de livraison, rediriger les clients vers de fausses pages de paiement ou déposer un malware.
Les failles se trouvent dans PHP lui-même, pas dans une solution e-commerce en particulier. Ce qui compte, c’est la version de PHP utilisée par votre boutique. Seules ces versions sont sûres :
| Branche PHP | Sûre à partir de |
|---|---|
| PHP 8.2 | PHP 8.2.35 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.5 | PHP 8.5.12 |
Toute solution e-commerce basée sur PHP est donc concernée tant que PHP n’est pas mis à jour sur le serveur : WooCommerce, Magento, Shopware, PrestaShop, OXID eShop, JTL-Shop, Gambio, xt:Commerce, OpenCart, Zen Cart et osCommerce.
PHP 8.1 et les versions plus anciennes comme PHP 7.4 ne figurent pas dans les avis officiels. Elles ne reçoivent cependant plus aucune mise à jour de sécurité, y compris pour les failles futures. Pour une boutique sur une version PHP obsolète, un pare-feu placé devant la boutique est la couche de protection la plus importante jusqu’à la mise à niveau.
La version active de PHP figure dans l’espace client de votre hébergeur, dans l’administration de votre boutique, via phpinfo() ou en ligne de commande avec php -v. Vérifiez tous les serveurs, y compris les environnements de préproduction et de test.
Passez à PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 et redémarrez les processus PHP. Selon l’équipe PHP, la mise à jour est le seul correctif complet. En hébergement mutualisé, c’est votre hébergeur qui doit la déployer.
Si la mise à jour n’est pas possible tout de suite, l’équipe PHP recommande de limiter les requêtes avant qu’elles n’atteignent PHP : taille des requêtes, nombre de variables, profondeur d’imbrication et envois de fichiers, et blocage des requêtes multipart là où la boutique n’en a pas besoin.
Le pare-feu SecureCommerce bloque les attaques sur ces deux failles. Grâce à l’intégration plug-and-play, votre boutique est raccordée rapidement.
Le pare-feu SecureCommerce protège votre boutique contre ces failles et contre la prochaine. Grâce à l’intégration plug-and-play, votre boutique est raccordée rapidement, et SecureCommerce l’exploite en service managé.
Les requêtes sont filtrées avant d’atteindre le serveur de votre boutique. Des règles de filtrage auto-apprenantes tiennent le trafic suspect à l’écart de PHP.
Inclus dans les forfaits Pro et Plus : une protection contre les failles nouvellement publiées, avant même que vous ayez pu mettre vos systèmes à jour.
Surveillance permanente de vos serveurs de boutique et de base de données, pour détecter les anomalies au plus tôt.
Détection, blocage et suppression des malwares injectés sur vos serveurs.
Sur demande, nous vérifions votre boutique sans engagement et définissons avec vous la protection adaptée.
Le pare-feu SecureCommerce repousse les attaques par saturation et les bad bots pour que votre boutique reste accessible.
Oui. Le pare-feu SecureCommerce bloque les attaques sur ces deux failles avant qu’elles n’atteignent PHP.
Oui, si elle tourne sous PHP 8.2 avant 8.2.35, 8.3 avant 8.3.36, 8.4 avant 8.4.27 ou 8.5 avant 8.5.12, quelle que soit la solution e-commerce.
Les failles se trouvent dans PHP, pas dans la solution e-commerce. C’est PHP qu’il faut mettre à jour sur le serveur. Une mise à jour corrective au sein de la même branche, par exemple de 8.3.x vers 8.3.36, ne modifie normalement pas la compatibilité de votre boutique.
PHP 7.4 et toutes les versions jusqu’à 8.1 ne sont pas citées dans les avis officiels. Elles ne reçoivent toutefois plus de mises à jour de sécurité, y compris pour les failles futures. Prévoyez une mise à niveau et placez d’ici là un pare-feu devant votre boutique.
Envoyez-nous l’URL de votre boutique via le formulaire de contact. Sur demande, nous la vérifions sans engagement et vous envoyons un devis pour un forfait de protection adapté, à partir de 49 € par mois.
Envoyez-nous l’URL de votre boutique. Nous la vérifions sans engagement et revenons vers vous par e-mail avec un devis.
Demander la protection