Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité concernant deux failles critiques du langage de programmation PHP, dont de nombreux médias font actuellement état. Chez XONIC-Hosting, nous avons tout d'abord mis en place une mesure de protection sur tous les serveurs le 21 octobre, puis installé les mises à jour le jour même. Les clients disposant d'une boutique en ligne chez XONIC-Hosting n'ont aucune démarche à effectuer.
En bref
- Que s’est-il passé ? Deux failles de sécurité critiques ont été découvertes dans PHP lui-même (CVE-2026-109618 et CVE-2026-109619, souvent appelées « PHP2Shell » dans les rapports). C’est PHP, qui sert de base à de nombreux sites web, qui est concerné, et non le XONIC Shop System.
- Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées le 21 octobre 2026.
- Sur l'hébergement XONIC : la mesure de protection est active sur tous les serveurs depuis l'après-midi du 21 octobre. Les mises à jour pour PHP 8.2 à 8.5 ont été installées en début de soirée.
- Ce que cela implique pour vous : rien, si votre boutique est hébergée chez XONIC.
- Boutique hébergée chez un autre hébergeur : demandez à votre hébergeur de procéder à la mise à jour. Veuillez nous consulter au préalable en cas de changement de version de PHP.
Mise à jour : 21 octobre 2026, 19 h 30.
Que sait-on de ces failles de sécurité ?
L’équipe de sécurité PHP classe ces deux failles comme critiques. Elles concernent les installations PHP qui répondent à des requêtes provenant d’Internet, quel que soit le logiciel qui y est exécuté. Un plugin, un thème ou une mise à jour de la boutique en ligne ne peuvent donc pas les corriger ; seule une mise à jour de PHP sur le serveur permet d’y remédier. Les services de sécurité ont déjà signalé les premières tentatives d’attaque.
À l’origine, la publication était prévue pour le jeudi 22 octobre. Des détails ayant été divulgués avant l’heure, l’équipe PHP a avancé la date des mises à jour.
Quelles mesures avons-nous prises chez XONIC-Hosting ?
| Date | Mesure |
|---|---|
| 20 octobre 2026, dans la soirée | L'équipe PHP annonce les mises à jour de sécurité pour le 21 octobre. |
| 21 octobre 2026, après-midi | Nous recensons toutes les versions de PHP présentes sur nos serveurs, mettons en place la mesure de protection recommandée pour chacune d'entre elles et vérifions que les boutiques en ligne continuent de fonctionner normalement. Le projet PHP publie les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35. |
| 21 octobre 2026, début de soirée | Les mises à jour ont été installées sur tous les serveurs de l'hébergement XONIC. Nous avons ensuite vérifié chaque version ainsi que l'accessibilité des boutiques. |
Quels sont les changements apportés au XONIC Shop System ?
Aucune mise à jour de la boutique n’est nécessaire pour corriger ces failles, car elles concernent PHP. De plus, nous avons renforcé la protection des sessions dans la boutique : à partir de la version 4.9.176, la boutique n’acceptera plus que les sessions qu’elle a elle-même ouvertes. Cette fonctionnalité sera disponible avec la prochaine mise à jour. Sur nos serveurs, ce paramètre est déjà activé.
Qu’en est-il des boutiques utilisant une version plus ancienne de PHP ?
Le projet PHP ne publie plus de mises à jour pour PHP 8.1 et les versions antérieures. La mesure de protection est également activée dans l’hébergement XONIC pour ces versions. Toutefois, selon l’équipe PHP, seules les versions récentes de PHP permettent de corriger entièrement ces failles.
Nous recommandons PHP 8.4, version pour laquelle la boutique en ligne actuelle a été conçue. Les versions plus anciennes de la boutique doivent être mises à jour avant la migration, sinon la boutique ne sera plus accessible par la suite. Si votre boutique fonctionne encore sous une version plus ancienne, n’hésitez pas à nous contacter. Nous planifierons la migration avec vous.
Questions fréquentes sur les failles de sécurité PHP
The XONIC Shop System is it concerned by PHP security vulnerabilities?
Ces failles se trouvent dans PHP, le langage de programmation sur lequel fonctionnent la plupart des boutiques en ligne et des sites web, et non dans le XONIC Shop System. Elles sont corrigées par une mise à jour de PHP sur le serveur. Dans l’hébergement XONIC, cette mise à jour a été installée depuis le 21 octobre 2026.
En tant que client de l'hébergement XONIC, dois-je faire quelque chose ?
Non. Nous avons installé les mesures de protection et les mises à jour PHP le 21 octobre 2026 sur tous les serveurs de l’hébergement XONIC, puis nous les avons vérifiées. Si votre boutique fonctionne encore sous PHP 8.1 ou une version antérieure, nous vous recommandons en outre de passer à PHP 8.4.
Ma boutique est hébergée chez un autre hébergeur. Que dois-je faire ?
Dans ce cas, c’est votre hébergeur qui est responsable du serveur et de la version de PHP. Demandez-lui s’il a installé les mises à jour du 21 octobre 2026. S’il modifie la version de PHP, veuillez coordonner ce changement avec nous au préalable, car les anciennes versions de la boutique ne fonctionneront sous PHP 8.4 qu’après une mise à jour.
Quelles versions de PHP contiennent ce correctif ?
PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, toutes datées du 21 octobre 2026. Le projet PHP ne propose plus de mises à jour pour PHP 8.1 et les versions antérieures.
Ma boutique fonctionne encore sous PHP 8.1 ou une version antérieure. Est-ce un problème ?
Il n'y a plus de correctifs officiels pour ces versions. Une mesure de protection est mise en place dans l'hébergement XONIC, mais seule une version récente de PHP garantit une sécurité totale. Nous recommandons PHP 8.4. Les anciennes versions de la boutique doivent d'abord être mises à jour, ce que nous nous ferons un plaisir de planifier avec vous.
Ai-je besoin d’une mise à jour de ma boutique en ligne ?
Pas pour combler les failles, car la mise à jour de PHP s’en charge. À partir de la version 4.9.176, la boutique protège elle-même ses sessions. Chez XONIC-Hosting, ce paramètre est déjà activé au niveau du serveur ; la version de la boutique l’applique également aux boutiques hébergées chez d’autres hébergeurs.
Des questions concernant votre boutique ?
Vous souhaitez savoir sous quelle version de PHP fonctionne votre boutique, ou vous envisagez de passer à PHP 8.4 ? Ouvrez un ticket d’assistance ou utilisez notre formulaire de contact.
Sources et informations complémentaires
