Le 21 octobre 2026, l'équipe de PHP a publié en urgence des versions corrigées pour deux failles jugées critiques (note 9,2 sur 10). Elles permettent à un inconnu, sans mot de passe, d'exécuter son propre code sur le serveur. PrestaShop fonctionne avec PHP : toutes les boutiques sont concernées tant que leur serveur n'est pas mis à jour.
Ce qui se passe
Les deux failles portent les numéros CVE-2026-109618 et CVE-2026-109619. Elles touchent PHP lui-même, pas PrestaShop ni un module : peu importe la version de votre boutique ou les modules installés. Un pirate qui les exploite peut lire votre base de données (clients, commandes, adresses), déposer un virus ou piéger votre page de paiement.
Quand une faille de cette gravité est rendue publique, les robots des pirates commencent à la tester sur des milliers de sites en quelques jours. Il ne faut pas attendre.
Suis-je concerné ?
Dans l'administration de votre boutique : Paramètres avancés › Informations, ligne « Version de PHP ». Comparez avec ce tableau :
- PHP 8.5 : corrigé à partir de 8.5.12
- PHP 8.4 : corrigé à partir de 8.4.27
- PHP 8.3 : corrigé à partir de 8.3.36
- PHP 8.2 : corrigé à partir de 8.2.35 (cette branche ne sera plus suivie après le 31 décembre 2026)
- PHP 8.1, 8.0, 7.x : plus de correctif officiel. Certains hébergeurs en proposent un de leur côté : demandez-leur.
Si votre version est inférieure à celle indiquée, votre boutique est exposée.
Test gratuit : vérifiez votre boutique en 20 secondes (HTTPS, version de PHP visible, fichiers exposés, e-mails), sans inscription.
Que faire ?
- Hébergement mutualisé (OVH, o2switch, Hostinger, IONOS…) : la mise à jour est en général faite par l'hébergeur. Vérifiez votre version dans quelques jours ; si elle n'a pas bougé, écrivez au support en citant les deux numéros CVE.
- Serveur que vous gérez vous-même : installez la version corrigée de votre branche et redémarrez PHP.
- Boutique ancienne en PHP 7 ou 8.0 : c'est le moment de planifier le passage à une version suivie. Vérifiez d'abord que votre version de PrestaShop et vos modules la supportent.
Des réglages de contournement existent, mais PHP le dit lui-même : seule la mise à jour protège vraiment.
Être prévenu la prochaine fois
Ce genre d'alerte arrive plusieurs fois par an, pour PHP, pour PrestaShop et pour les modules. Notre module Vigie compare chaque jour votre boutique à la liste publique des failles connues — PHP compris — et vous prévient par e-mail dès qu'une faille vous concerne, avec ce qu'il faut faire, expliqué simplement.
Source : annonce officielle de PHP, 21 octobre 2026 (php.net).