Réflexions sur les mises à jour de sécurité de PHP du 21 octobre 2026

Notre entreprise travaille avec des technologies open source éprouvées que chacun peut examiner et auditer, et nous nous soucions constamment de la sécurité et de la continuité opérationnelle des applications que nous livrons à nos clients. Cependant, ces technologies sont loin d’être exemptes d’erreurs, c’est pourquoi nous consacrons du temps et des ressources à traiter les mises à jour de sécurité des technologies que nous utilisons.

Le 21 octobre 2026, des correctifs d’urgence ont été publiés pour deux vulnérabilités critiques de PHP, correspondant aux avis de sécurité CVE-2026-109618 et CVE-2026-109619. CVE signifie « Common Vulnerabilities and Exposures » et désigne un catalogue de vulnérabilités de sécurité publiquement connues dans les applications logicielles et les composants matériels.

Nous avons pris connaissance de cette information à 11 h 40 le mercredi, et nous avons immédiatement adressé un avis à tous nos clients concernant le risque encouru. Nous avons pris les mesures suivantes, à des heures approximatives :

11 h 45 CLST / 14 h 45 UTC : Mise à jour massive de PHP et d’autres outils sur tous les serveurs publics qui contiennent des informations de nos clients et sont sous notre contrôle. Sur les serveurs Rocky Linux, mise à jour vers PHP 8.5.12 ; sur les serveurs Ubuntu Linux, vers 8.5.4-0ubuntu1.5.

12 h 00 CLST / 15 h 00 UTC : Redémarrage de tous les serveurs publics qui contiennent des informations de nos clients et sont sous notre contrôle, avec une interruption de service de 15 minutes.

15 h 00 CLST / 18 h 00 UTC : L’analyse de tous les journaux d’applications, collectés à partir de nos services de supervision, a commencé à ce moment-là et s’est terminée le 30 octobre 2026, sans révéler d’indice de problème de sécurité.

Les interruptions de service ont totalisé 30 minutes : 15 minutes pour la mise à jour de PHP et 15 minutes pour celle des applications.

Les plateformes que nous développons fonctionnent derrière un pare-feu d’application web qui n’accepte qu’un ensemble de données valide pour chaque site, ce qui réduit la surface d’attaque. Cependant, la principale protection contre ce type de faille de sécurité est la mise à jour logicielle, appliquée à 100 %. Nous appliquons aussi des mises à jour de sécurité aux applications qui tournent sur PHP, avec une indisponibilité calculée de 15 minutes. Cette mise à jour est effectuée périodiquement et de manière automatisée, mais nous disposons des moyens de la réaliser manuellement et de contrôler ses résultats.

Un seul service est resté indisponible plus longtemps que nécessaire, en raison des politiques propres de conservation des informations de l’organisation qui l’administre. Néanmoins, l’audit réalisé sur ce service n’a pas révélé non plus de tentatives d’exploitation réussies.

Notre entreprise reste engagée dans le développement de produits et de services d’excellence pour nos clients. Pour toute question, n’hésitez pas à nous contacter via nos canaux institutionnels.