PHP, WordPress, Tomcat et NGINX : les correctifs à vérifier cette semaine

Par Rédaction E.T Editalent, publié le 2026-10-31. Mis à jour le 2026-10-31.

Contenu partiellement rédigé par l’IA.

Le bulletin du CERT-FR publié le 26 octobre 2026 signale des tentatives d’exploitation de failles PHP et recense plusieurs vulnérabilités critiques. Pour une mairie, une PME ou une association, la priorité est de connaître les versions réellement installées avant de demander les correctifs adaptés.

Que couvre le bulletin du CERT-FR ?

Le document CERTFR-2026-ACT-045 revient sur les vulnérabilités significatives de la semaine 43, soit du 19 au 25 octobre 2026. Sa publication est datée du 26 octobre. Il ne faut pas confondre cette date avec la période couverte par le tableau.

Le CERT-FR précise que cette synthèse ne remplace pas l’analyse de l’ensemble de ses avis. Un produit absent de notre sélection n’est donc pas déclaré sûr. À l’inverse, le nom d’un logiciel dans le bulletin ne prouve pas que tous ses déploiements sont exploitables dans les mêmes conditions.

L’organisme demande de se référer aux avis des éditeurs pour obtenir les correctifs. Le score de gravité aide à repérer les dossiers importants. Il ne remplace ni la connaissance du système ni l’examen de son exposition à Internet.

PHP : deux failles corrigées, un dossier encore à suivre

Le bulletin cite CVE-2026-109618 et CVE-2026-109619. Il indique que des preuves de concept sont connues et que des tentatives d’exploitation ont été observées le 26 octobre, dans certaines configurations.

L’avis de sécurité de PHP donne les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Ces références concernent PHP lui-même. Une mise à jour de WordPress, d’un thème ou d’une extension ne démontre pas que le langage exécuté sur le serveur a également été corrigé.

Un troisième identifiant, CVE-2026-115560, figure dans le bulletin. À la date de ce document, son correctif était encore annoncé comme à venir. Les versions listées ci-dessus ne doivent donc pas être présentées comme une réponse universelle aux trois failles.

Ce dossier prolonge notre article sur PHP2Shell et la vérification d’un site WordPress. L’objectif reste le même : obtenir une confirmation écrite du prestataire, avec la version, la date de l’intervention et les contrôles effectués.

Superio : le risque dépend du thème réellement installé

Le CERT-FR recense le thème WordPress Superio, d’Apusthemes, et la faille CVE-2024-12213, notée 9,8 sur 10. Il mentionne une élévation de privilèges et un code d’exploitation public.

Le millésime de l’identifiant ne doit pas être changé : c’est bien une CVE de 2024 reprise dans un bulletin de 2026. Une alerte récente peut concerner une faiblesse connue depuis longtemps et toujours présente sur des installations non corrigées.

La synthèse ne fournit pas, à elle seule, le seuil de version permettant de déclarer un thème corrigé. Il faut identifier le thème actif, les thèmes conservés sur le serveur et leur état de maintenance. Nous ne donnons pas de numéro de version de correction que nous n’avons pas pu confirmer auprès de l’éditeur.

Tomcat et NGINX : demander la bonne branche de version

Apache documente trois failles : CVE-2026-103119, CVE-2026-101356 et CVE-2026-101296. Pour la branche Tomcat 11, son avis les place dans les corrections de 11.0.27. Les situations concernées touchent notamment des échanges AJP, des traitements HTTP/2 et une configuration d’authentification.

Ces conditions comptent. Il serait inexact d’appliquer le numéro 11.0.27 à toutes les branches de Tomcat ou de supposer que chaque configuration présente le même risque. Le prestataire doit rapprocher sa version et ses réglages de l’avis correspondant.

NGINX documente CVE-2026-15176, CVE-2026-93479 et CVE-2026-97205. Pour ces trois références, sa page liste comme non vulnérables les versions 1.31.7 et suivantes, ou 1.30.6 et suivantes. Cette indication concerne les versions décrites par cette documentation ; elle ne remplace pas l’avis applicable à une offre commerciale ou à un paquet maintenu par un distributeur.

Ce que cela change pour vous : cinq vérifications

1. Identifier les composants. Demandez les versions de PHP, du site, des thèmes et des logiciels serveur. Une réponse limitée à la version de WordPress est insuffisante pour ce bulletin.
2. Vérifier l’exposition. Faites préciser les services accessibles depuis Internet et les conditions décrites par les avis. Un serveur interne et un service public ne s’analysent pas de la même manière.
3. Préparer sauvegarde et retour arrière. Faites confirmer une sauvegarde exploitable et le scénario prévu si une mise à jour perturbe le site. La continuité du service mérite une préparation écrite.
4. Appliquer puis contrôler. Demandez la version obtenue après intervention et les tests des parcours essentiels : démarches, formulaires et accès des agents. Une intervention annoncée n’est pas une preuve de bon fonctionnement.
5. Examiner les traces et suivre les avis. Une correction ne suffit pas à exclure une compromission antérieure. Le prestataire doit rechercher les indices pertinents et surveiller l’évolution du dossier encore en attente de correctif.

Pour les petites équipes, un tableau simple suffit : composant, responsable, version, action, date et résultat du contrôle. Ne publiez pas de détails sensibles sur votre configuration. Aucun incident propre à une collectivité ou à un client n’est établi par cet article.

Photo d’illustration : baie de serveurs et câbles réseau, Kim Scarborough, CC BY-SA 2.0, via Wikimedia Commons. Recadrage 16:9 sous la même licence.

Sources

• CERT-FR, bulletin CERTFR-2026-ACT-045, 26 octobre 2026.
• PHP, avis de sécurité et versions corrigées.
• Apache, avis de sécurité de Tomcat 11.
• NGINX, avis de sécurité et versions non vulnérables.
• Crédit photo : Wikimedia Commons, baie et câbles réseau, licence CC BY-SA 2.0.

Retour au blog