Bonjour,
Nous vous confirmons que tous les hébergements web sur nos serveurs partagés disposent maintenant de versions de PHP corrigées contre les deux vulnérabilités CVE-2026-109618 et CVE-2026-109619, annoncées le 21 octobre 2026.
100% corrigé - la faille n'existe plu sur les versions de PHP de cloudlinux de votre hébergement même si cela indique la même version de PHP que hier.
Notre équipe a déployé les mises à jour de sécurité fournies par CloudLinux, puis vérifié la présence des correctifs dans le journal des modifications des paquets PHP installés sur nos serveurs.
Les anciennes versions de PHP sont également corrigées
Ces mises à jour concernent aussi les anciennes versions de PHP proposées sur nos hébergements, notamment PHP 5.6 et PHP 7.4. Les sites qui utilisent encore ces versions bénéficient donc eux aussi des correctifs contre ces deux vulnérabilités.
CloudLinux maintient ses propres paquets PHP et y intègre des correctifs de sécurité, y compris pour des versions qui ne reçoivent plus de mises à jour officielles du projet PHP. Cette méthode, appelée rétroportage, permet de corriger les vulnérabilités tout en conservant la branche PHP utilisée par votre site et sa compatibilité avec vos applications.
LISEZ BIEN : Pourquoi le numéro de version peut-il différer de celui publié sur php.net ?
Le numéro affiché dans votre panneau de contrôle, dans WordPress ou dans une page phpinfo() ne correspond pas nécessairement à la dernière version annoncée sur php.net. Cela ne signifie pas que votre hébergement utilise une version dépourvue des correctifs.
Les paquets fournis par CloudLinux possèdent leur propre numéro de révision. Les correctifs peuvent ainsi être intégrés sans modifier le numéro principal de PHP affiché par votre application. Un avertissement fondé uniquement sur ce numéro peut donc ne pas tenir compte des correctifs déjà appliqués par CloudLinux.
Comment avons-nous confirmé la présence des correctifs ?
Dans phpinfo(), la date de compilation (Build Date) du 21 octobre 2026 permet de reconnaître les nouvelles compilations déployées. Toutefois, cette date ne constitue pas, à elle seule, une preuve de correction.
Nous avons également vérifié les journaux de modifications des paquets installés : ceux-ci mentionnent explicitement les correctifs associés aux CVE-2026-109618 et CVE-2026-109619, y compris pour PHP 5.6 et PHP 7.4.
Aucune intervention n’est requise de votre part
Les correctifs ont été appliqués à l’ensemble de notre hébergement partagé. Vous n’avez aucune mise à jour de PHP à effectuer vous-même pour bénéficier de ces corrections.
Bien que les anciennes versions soient corrigées contre ces deux vulnérabilités, nous recommandons de prévoir une migration vers une version récente de PHP lorsque vos applications le permettent, afin de profiter des améliorations de compatibilité, de performance et de maintenance.
Si vous avez des questions concernant la version PHP utilisée par votre site, notre équipe de soutien demeure disponible pour vous accompagner.
Confirmation technique : les correctifs figurent dans les journaux CloudLinux
Pour plus de transparence, voici les extraits des journaux de modifications (changelogs) des paquets PHP CloudLinux installés sur nos serveurs.
Ces résultats ont été obtenus directement à partir des paquets installés. Ils mentionnent explicitement CVE-2026-109618 et CVE-2026-109619, confirmant l’intégration des correctifs contre ces deux vulnérabilités.
Cette vérification couvre aussi les anciennes versions, notamment PHP 5.6 et PHP 7.4. Même si leur numéro de version principal demeure inchangé, leurs paquets CloudLinux intègrent bien ces correctifs de sécurité.
Les extraits techniques ci-dessous sont fournis à titre informatif. Aucune commande ni intervention n’est nécessaire de votre part.
[.root@box ~]# rpm -q --changelog alt-php85-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618: do not bail out from inside the memory manager; allocation
- CVE-2026-109619: clear stale request globals at shutdown so a bailout cannot
[.root@box ~]# rpm -q --changelog alt-php84-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618: do not bail out from inside the memory manager; allocation
- CVE-2026-109619: clear stale request globals at shutdown so a bailout cannot
[root@box ~]#rpm -q --changelog alt-php83-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618, CVE-2026-109619: security hardening in the memory allocator,
[root@box ~]# rpm -q --changelog alt-php82-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618, CVE-2026-109619: security hardening in the memory allocator,
[.root@box ~]# rpm -q --changelog alt-php80-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618, CVE-2026-109619: security hardening in the memory allocator
[.root@box ~]# rpm -q --changelog alt-php81-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618, CVE-2026-109619: security hardening in the memory allocator
[.root@box ~]# rpm -q --changelog alt-php74-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618, CVE-2026-109619: security hardening in the memory allocator
[.root@box ~]# rpm -q --changelog alt-php73-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618: do not bail out from inside the memory manager; an
- CVE-2026-109619: clear the error and exception handler globals at request
[.root@box ~]# rpm -q --changelog alt-php72-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618: do not bail out from inside the memory manager; an
- CVE-2026-109619: clear the error and exception handler globals at request
[.root@box ~]# rpm -q --changelog alt-php56-common | grep -E 'CVE-2026-(109618|109619)'
- CVE-2026-109618, CVE-2026-109619: security hardening in the memory allocator
L’équipe RapideNet Canada
