Mise à jour des versions PHP 8.2 à 8.5

TuxCare a désormais mis à jour ses paquets à partir des versions publiées par le projet PHP, en complément des correctifs rétroportés déjà déployés. Les versions installées sur nos hébergements sont les suivantes :

• `alt-php82` : `8.2.35-1`
• `alt-php83` : `8.3.36-1`
• `alt-php84` : `8.4.27-1`
• `alt-php85` : `8.5.12-1`

Les correctifs de sécurité concernés étaient déjà présents dans les paquets précédents. Cette mise à jour rend les numéros de version cohérents avec ceux du projet PHP. Elle ne change pas la protection déjà apportée contre les vulnérabilités annoncées le 20 octobre.

Recommandation complémentaire du projet PHP

Dans son avis du 23 octobre sur le suivi de progression des téléversements, le projet PHP recommande de désactiver `session.upload_progress.enabled` dans l'attente de la prochaine version corrective.

Cette recommandation est déjà appliquée sur l'ensemble de nos plateformes d'hébergement web, avec `session.upload_progress.enabled = 0`. Nous conservons cette mesure préventive en attendant le correctif annoncé.

Aucune manipulation n'est nécessaire de votre part dans Plesk ou sur vos sites. La maintenance reste terminée.

Nous avons reçu ce matin plusieurs questions concernant le numéro de version PHP affiché dans Plesk. Voici quelques précisions sur les correctifs déployés.

Les correctifs concernant les vulnérabilités annoncées le 20 octobre sont déjà appliqués à toutes les versions PHP « Secured » proposées sur nos hébergements. Aucune manipulation dans Plesk n'est nécessaire.

TuxCare ELS applique ces correctifs par rétroportage : le code concerné est corrigé sans forcément modifier le numéro de version PHP affiché. Le suivi repose sur la révision du paquet et son historique de sécurité. Un ancien numéro de version ne signifie donc pas que les correctifs sont absents.

Par exemple, PHP 8.3.35 Secured intègre les correctifs concernés publiés dans PHP 8.3.36. Il n'est pas nécessaire de changer la version de votre site dans Plesk pour en bénéficier.

Utilisation en ligne de commande

Le PHP appelé par défaut avec la commande `php` bénéficie également de ces correctifs. Nous recommandons toutefois d'utiliser le chemin complet correspondant à la version PHP de votre site pour conserver la même compatibilité lors de l'exécution de scripts, de tâches planifiées ou de commandes Composer.

Par exemple, pour un site sous PHP 8.4 : `/opt/plesk/php/8.4/bin/php`.

Pour en savoir plus :

• Mises à jour et sécurité de PHP avec TuxCare ELS
• Accès SSH et chemins PHP sur les hébergements Plesk

La maintenance est terminée. Cette mise à jour apporte des précisions sur les correctifs déjà déployés.

FRWEB14 : corrigé. Les sites de cette plateforme fonctionnent désormais sur des versions de PHP 7.4 à 8.5 corrigées contre ces deux failles.

Toutes nos plateformes web mutualisées utilisent maintenant des versions PHP corrigées. Aucune action n'est nécessaire de votre part

PHP 8.0 et 8.2 : corrigés sur FRWEB5 à FRWEB12 et CHWEB1. Notre partenaire a publié ces deux derniers correctifs peu après minuit, et nous les avons installés dans la foulée, sans impact sur les sites.

Toutes les versions de PHP 7.4 à 8.5 sont désormais corrigées sur FRWEB5 à FRWEB12 et CHWEB1.

FRWEB14 : les versions corrigées de PHP 7.4 à 8.5 sont installées, et nous finalisons actuellement leur mise en place sur les sites de cette plateforme.

Aucune action n'est nécessaire de votre part. Prochaine mise à jour à la fin de l'intervention sur FRWEB14.

PHP 8.5 : corrigé sur FRWEB5 à FRWEB12 et CHWEB1. Notre partenaire a publié le correctif à 23h38, et nous l'avons installé dans la foulée, sans impact sur les sites.

Où en sont les versions PHP de nos plateformes web mutualisées :
- PHP 7.4, 8.1, 8.3, 8.4 et 8.5 : corrigés sur toutes les plateformes sauf FRWEB14, qui attend la publication des correctifs pour son système.
- PHP 8.0 et 8.2 : en attente des correctifs de notre partenaire. Ils seront installés automatiquement dès leur publication. D'ici là, le pare-feu applicatif bloque les attaques connues.

Prochaine mise à jour à la publication des derniers correctifs.

Les opérations de maintenance et de déploiement se poursuivent, au fil des release des patchs de sécurité par notre prestataire de correctifs.

En parallèle nos équipes maintiennent une vigilance tres renforcée sur le sujet, et nous continuons de déployer de nombreuses règles WAF afin de limiter toute exposition, au fur et à mesure de l’évolution des vecteurs d’attaques constatés.

La maintenance est terminée.

PHP 8.4 : corrigé sur FRWEB5 à FRWEB12 et CHWEB1. Notre partenaire a publié le correctif à 22h10, et nous l'avons installé dans la foulée, sans impact sur les sites.

Où en sont les versions PHP de nos plateformes web mutualisées :
- PHP 7.4 et PHP 8.4 : corrigés sur toutes les plateformes sauf FRWEB14, qui attend la publication des correctifs pour son système.
- PHP 8.0, 8.1, 8.2, 8.3 et 8.5 : en attente des correctifs de notre partenaire. Ils seront installés automatiquement dès leur publication. D'ici là, le pare-feu applicatif bloque les attaques connues.

FRWEB4 : les sites hébergés sur cette plateforme fonctionnent en PHP 7.4, dans une version corrigée contre ces deux failles. FRWEB4 étant une plateforme ancienne, nos équipes prévoient de migrer ses sites vers une plateforme entièrement maintenue.

Prochaine mise à jour à la publication des autres correctifs PHP 8.x.

Pare-feu applicatif (WAF) : à 19h17, notre partenaire a publié de nouvelles règles. Elles bloquent d'autres variantes de l'outil d'attaque et détectent les envois de fichiers malformés utilisés pour exploiter ces failles. Ces règles sont actives sur toutes nos plateformes web mutualisées.

Où en sont les versions PHP de nos plateformes web mutualisées :
- PHP 7.4 : corrigé sur toutes les plateformes sauf FRWEB14, qui attend la publication du correctif pour son système.
- PHP 8.0, 8.1, 8.2, 8.3, 8.4 et 8.5 : en attente. Notre partenaire annonce les correctifs vers 22h. Ils seront installés automatiquement dès leur publication. D'ici là, le pare-feu applicatif bloque les attaques connues.

Prochaine mise à jour à la publication des correctifs PHP 8.x.

La fondation PHP a publié cet après-midi les correctifs des failles CVE-2026-109618 et CVE-2026-109619 pour PHP 8.2, 8.3, 8.4 et 8.5. Les versions 7.4, 8.0 et 8.1 sont corrigées par notre programme de maintenance partenaire.

État de la protection de nos plateformes web mutualisées (FRWEB5 à FRWEB12, FRWEB14, CHWEB1) :

• Pare-feu applicatif (WAF) : règles de blocage des attaques connues actives sur toutes ces plateformes depuis la nuit dernière.
• Versions PHP maintenues : l'ensemble des sites a été basculé sur des versions PHP maintenues et corrigées en continu par notre partenaire, de PHP 7.4 à PHP 8.5, sans changement de version pour vos sites.
• PHP 7.4 : corrigé sur FRWEB5, FRWEB6, FRWEB7, FRWEB8, FRWEB9, FRWEB10, FRWEB11, FRWEB12 et CHWEB1. FRWEB14 sera corrigé dès la publication du correctif pour son système.
• Webmails : corrigés sur toutes les plateformes.
• PHP 8.0 à 8.5 : les correctifs sont attendus ce soir. Ils seront déployés automatiquement dès leur publication.
• Panneau d'administration Plesk : l'éditeur a annoncé un correctif pour aujourd'hui. Il sera appliqué dès sa disponibilité.

Ces déploiements se font de façon transparente. De courtes interruptions de quelques secondes à quelques minutes ont pu se produire sur certains sites.

La fondation PHP a annoncé hier soir la découverte de deux failles de sécurité critiques dans le projet PHP, affectant toutes les versions PHP depuis PHP 5.0 : Il s'agit des CVE-2026-109618 et CVE-2026-109619. Ces failles de sécurité sont liées à PHP directement, et permettent potentiellement de prendre le contrôle de n'importe quel site internet exécutant PHP, quelque soit sa configuration.

Les détails exact de ces failles ne sont pas encore publiés : La fondation PHP a annoncé la publication des détails pour ce jour 16h (heure de Paris) avec les premiers correctifs de sécurité.

Néanmoins, quelques éléments sont déjà anticipés sur ces failles : Elles impacteraient toutes les versions de PHP depuis PHP 5.0 (depuis 2004), et la fondation PHP ne proposerai des correctifs que pour les sites sous PHP 8.1, 8.2, 8.3, 8.4 et 8.5.

Notre équipe a réalisé un audit complet de nos infrastructures WEB mutualisés (Plesk), principalement concernées par ces failles, en raison du nombre très élevé de sites internet exploitant PHP sur ces plateformes. Nous avons également procédé au déploiement dans la nuit d'un premier lot de correctifs de sécurité (notamment des règles de firewalling WAF dynamiques), visant à réduire l'exposition de nos clients à ces failles.

Nous déploierons également les correctifs de sécurité pour les versions PHP 8.1, 8.2, 8.3, 8.4 et 8.5 dès leur publication par la version PHP.

Enfin, nous prévoyons également des correctifs de sécurité pour les versions PHP 7.4, 8.0 et 8.1 : Ces versions sont EOL, mais sont toujours proposés sur nos infrastructures, et reçoivent des correctifs de sécurité réguliers, via un programme de maintenance partenaire. Nous estimons que ces correctifs seront disponibles très rapidement après la publication des correctifs pour les versions PHP plus récentes.

Le déploiement de ces patchs de sécurité se fera principalement de façon transparente, mais il est possible que les sites internent soient interrompus quelques minutes au fur et à mesure du déploiement des patchs.