26 octobre 2026

Vulnérabilités PHP (CVE-2026-109618 et CVE-2026-109619) : Curebot non concerné, actions chez EspritsCollaboratifs

En bref

PHP intervient-il dans la fourniture du service Curebot ? Non. Aucun produit fourni à nos clients, à commencer par la plateforme Curebot, n’utilise PHP. Ils ne sont pas concernés par ces vulnérabilités.
Quelles versions utilisez-vous, et sont-elles concernées ? Sans objet. Le composant vulnérable est absent de notre environnement de production.
Avez-vous déployé les correctifs ? Aucune remédiation n’est nécessaire sur la plateforme Curebot, qui n’est pas exposée à ces vulnérabilités. Quelques outils internes utilisent PHP. Ils ont été coupés préventivement puis mis à jour avec le patch correctif.
Et le site curebot.fr ? Notre site est un environnement distinct de la plateforme. Il ne porte ni l’authentification ni aucune donnée issue de vos veilles. Il fonctionne sous WordPress, donc sous PHP, et a été mis à jour vers une version embarquant le correctif pour ces failles.

Ce qui s’est passé

Mercredi 21 octobre 2026, deux failles majeures, d’un score de gravité de 9,2 sur 10, ont été découvertes dans le moteur du langage PHP. Surnommées PHP2Shell, ces failles étaient de type Exécution de Code Distant (Remote Code Execution) : c’est à dire que leur exploitation par un acteur malveillant permettrait d’exécuter arbitrairement du code à distance sur une machine impactée par l’une de ces failles, sans authentification.

Les personnes en charges du développement de PHP ont alors annoncé qu’un correctif serait publié le jeudi 22 octobre 2026 à 16h00 (heure de Paris).

En date du 22 octobre, aucune exploitation massive de ces failles n’avait été observées par les organismes compétents.

Impacts et actions chez EspritsCollaboratifs

Chez EspritsCollaboratifs, aucun produit mis à la disposition de nos clients n’utilise PHP. Ainsi nos environnements de production n’ont pas pu être touchées par ces vulnérabilités et les données de nos clients ne courraient aucun risque.

Seule une poignée de nos outils internes reposent sur PHP. Quand nous avons pris connaissance de ces failles, nous avons immédiatement pris les mesures nécessaires pour nous en prémunir. Nous avons coupé préventivement des services non critiques afin de réduire au maximum tout risque éventuel.

À 16h00 ce jeudi 22 octobre, nous avons appliqué le correctif de sécurité qui corrige lesdites failles dans les dix minutes suivant sa publication. Puis, nous avons réactivé les services PHP qui avaient été préventivement coupés.

Notre site curebot.fr, dont ce blog, est distinct de la plateforme Curebot et ne porte ni l’authentification ni aucune donnée issue de vos veilles. Il fonctionne sous WordPress, donc sous PHP, et a été mis à jour vers une version embarquant le correctif pour ces failles.

Conclusion

Aucun de nos environnements de production n’a été à risque durant cet événement. Les rares services internes utilisant PHP ont été coupés préventivement jusqu’à l’application du patch corrigeant les vulnérabilités. À ce jour, les versions de PHP s’exécutant chez EspritsCollaboratifs sont exclusivement des versions embarquant le correctif pour ces failles.

Nous tenons également à féliciter les équipes de développement de PHP qui ont agit rapidement et avec professionnalisme pour résoudre ces failles de sécurité.