En bref
Du 14 au 22 octobre 2026, deux sujets ressortent pour les DSI et RSSI de PME et d'ETI :
- une alerte du CERT-FR sur PHP. Deux vulnérabilités permettent une exécution de code arbitraire à distance, et les correctifs sont disponibles ;
- un retour d'expérience du CERT-FR sur les violations de données applicatives. Il rappelle que de nombreuses fuites ne reposent sur aucune faille technique.
Le bulletin d'actualité hebdomadaire du CERT-FR complète cette sélection.
PHP : deux vulnérabilités permettant une exécution de code à distance (CERTFR-2026-ALE-014)
Ce qui se passe. Le CERT-FR a émis l'alerte CERTFR-2026-ALE-014 sur de multiples vulnérabilités dans PHP. Il l'a mise à jour le 21 octobre 2026 pour indiquer que les correctifs de sécurité sont disponibles sur le site de l'éditeur. Selon PHP, les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
Le résumé dont nous disposons est succinct. Il ne précise ni les versions affectées, ni les conditions d'exploitation, ni la liste complète des vulnérabilités. Ces éléments figurent dans l'alerte du CERT-FR et dans les annonces de l'éditeur, à consulter avant toute action.
Qui est concerné. Toute organisation qui exploite des applications écrites en PHP :
- sites institutionnels ;
- CMS et boutiques en ligne ;
- extranets et intranets ;
- outils métier développés en interne ou par un prestataire.
Les environnements hébergés chez un tiers (hébergement mutualisé, infogérance, PaaS) sont aussi concernés. La responsabilité de la mise à jour peut alors être partagée.
Actions recommandées :
- Inventorier les serveurs, conteneurs et services qui exécutent PHP, y compris les applications oubliées ou peu maintenues.
- Identifier les versions en service et les comparer aux informations de l'alerte CERTFR-2026-ALE-014 et de l'éditeur.
- Appliquer les correctifs en priorité sur les applications exposées sur Internet, puis sur le périmètre interne.
- Mettre à jour la chaîne de production : images de conteneurs de base, modèles de serveurs et pipelines CI/CD. L'objectif est qu'un redéploiement ne réintroduise pas une version vulnérable.
- Solliciter vos hébergeurs et prestataires pour obtenir une confirmation écrite et datée de l'application des correctifs sur les environnements qu'ils gèrent.
- Surveiller les journaux des serveurs web et applicatifs à la recherche de comportements inhabituels, par exemple :
- création de fichiers dans les répertoires web ;
- processus inattendus lancés par le compte du serveur web ;
- connexions sortantes inhabituelles.
Bulletin d'actualité CERTFR-2026-ACT-044
Publié le 19 octobre 2026, le bulletin CERTFR-2026-ACT-044 revient sur les vulnérabilités significatives de la semaine précédente pour en souligner la criticité. Le résumé disponible ne détaille pas les produits concernés, nous ne pouvons donc pas les présenter ici. Nous invitons les équipes chargées de la gestion des vulnérabilités à le consulter directement.
Comme le rappelle le CERT-FR, ce bulletin ne remplace pas l'analyse de l'ensemble des avis et alertes publiés. Cette analyse reste nécessaire, dans le cadre d'une analyse de risques, pour prioriser l'application des correctifs.
Violations de données applicatives : le retour d'expérience du CERT-FR (CERTFR-2026-CTI-008)
Ce qui se passe. Le 20 octobre 2026, le CERT-FR a publié un retour d'expérience sur les violations de données applicatives. En 2025, il a suivi près de 200 violations de données issues d'applications web. Dans de nombreux cas, les exfiltrations ont été rendues possibles par des actions attaquantes de faible complexité, sans exploitation de vulnérabilité technique.
Le résumé disponible ne détaille ni les scénarios observés ni l'ampleur des impacts. Nous recommandons la lecture du rapport complet.
Pourquoi c'est important. Appliquer les correctifs, comme ceux de PHP cette semaine, est indispensable mais ne suffit pas. Une application à jour peut laisser fuiter des données si sa conception, sa configuration ou sa gestion des accès sont défaillantes. Pour une PME ou une ETI, une telle fuite peut entraîner :
- une notification à la CNIL au titre du RGPD ;
- une information des personnes concernées ;
- une atteinte durable à la réputation.
Actions recommandées (pistes générales de NETEDIS, à confronter aux constats détaillés du rapport) :
- recenser les applications web et les API qui manipulent des données personnelles ou sensibles ;
- vérifier que les interfaces d'administration ne sont pas exposées inutilement et qu'elles sont protégées par une authentification forte ;
- contrôler les droits d'accès : un utilisateur authentifié ne doit pas pouvoir consulter les données d'un autre ;
- traquer les secrets (mots de passe, clés d'API) présents dans le code, les dépôts ou les fichiers accessibles publiquement ;
- mettre en place une journalisation permettant de détecter des volumes d'extraction anormaux ;
- intégrer des tests de la logique métier et du contrôle d'accès aux audits et tests d'intrusion applicatifs, en plus de la recherche de vulnérabilités connues.
Recommandations transverses
- Tenir un inventaire applicatif à jour. Les deux sujets de la semaine supposent de savoir précisément quelles applications web sont en service, sur quelle technologie et qui en est responsable.
- Formaliser un délai cible de correction pour les vulnérabilités critiques sur les systèmes exposés, et suivre son respect, y compris chez les prestataires.
- Associer sécurité et développement. L'intégration de contrôles dans les pipelines (mise à jour des dépendances, détection de secrets, revue des contrôles d'accès) réduit à la fois le risque de compromission et celui de fuite de données.
- Préparer la réponse à une violation de données : procédure de notification RGPD, contacts et éléments de journalisation nécessaires à l'investigation.
Sources
- Màj Multiples vulnérabilités dans PHP (21 octobre 2026) - CERT-FR - alerte, 2026-10-21
- Bulletin d'actualité CERTFR-2026-ACT-044 (19 octobre 2026) - CERT-FR - bulletin d'actualité, 2026-10-19
- Violations de données applicatives - Retour d’expérience du CERT-FR (20 octobre 2026) - CERT-FR - menaces et incidents, 2026-10-20