Mise à jour du 21/10/2026, 17h38 : correctif déployé
Le correctif des vulnérabilités CVE-2026-109618 et CVE-2026-109619 est déployé sur l’ensemble du parc Datacampus, y compris les serveurs Plesk et les versions anciennes de PHP qui ont reçu un correctif reporté.
Quelques serveurs reposent sur un système d’exploitation qui n’est plus maintenu et ne peuvent pas recevoir ce correctif. La mitigation y reste active, et leurs propriétaires sont informés.
La mitigation déployée ce matin reste en place sur l’ensemble du parc, en complément.
L’incident passe en surveillance. Aucune action n’est nécessaire de votre côté.
Mise à jour du 21/10/2026, 15h53 CEST : correctif en cours de déploiement
Le projet PHP a publié les versions corrigées : 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les correctifs ont aussi été reportés sur les versions plus anciennes de PHP (5.6 à 8.1) par les paquets que nous utilisons.
Datacampus déploie le correctif sur l’ensemble du parc, toutes versions de PHP confondues, y compris celles que le projet PHP ne maintient plus. Le déploiement nécessite un court redémarrage du service PHP sur chaque serveur, sans interruption notable des sites.
La mitigation déployée ce matin reste en place.
Les rares serveurs dont le système d’exploitation n’est plus maintenu ne peuvent pas recevoir ce correctif. Leurs propriétaires sont contactés directement.
Aucune action n’est nécessaire de votre côté. Cette page sera mise à jour à la fin du déploiement.
Vulnérabilités critiques PHP (CVE-2026-109618 et CVE-2026-109619) : mesures en cours
Mise à jour du 21/10/2026, 11h00
Le projet PHP a annoncé deux vulnérabilités critiques dans le cœur de PHP. Elles permettent une exécution de code à distance. Le correctif officiel est attendu aujourd’hui à partir de 16h00, heure de Paris.
Ce matin. Les équipes Datacampus désactivent la directive session.upload_progress.enabled sur l’ensemble des serveurs hébergés. C’est la mesure provisoire recommandée en attendant le correctif. Elle ne change rien au fonctionnement normal des sites, à l’exception des barres de progression d’upload natives de PHP, rarement utilisées.
Cet après-midi. Datacampus appliquera les correctifs officiels dès leur publication, sur toutes les versions de PHP encore maintenues par le projet. Cette page sera mise à jour au fil de l’avancement.
Versions de PHP qui ne sont plus maintenues. PHP 8.1 et les versions antérieures ne recevront pas de correctif. La mesure provisoire reste en place sur ces serveurs, mais elle ne remplace pas un correctif. Seule une montée de version de PHP protège durablement. Elle se planifie avec votre équipe de développement.
Aucune démarche de votre part n’est nécessaire pour la mesure provisoire ou le correctif : ils sont appliqués sur tout le parc. Pour planifier une montée de version, ouvrez un ticket au support.
