Failles critiques PHP : ne pas corriger est une décision, pas un oubli

Le CERT-FR a publié le 21 octobre 2026 une alerte sur deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, permettant l'exécution de code à distance sans compte sur le service visé. Les correctifs sont disponibles le jour même. GLPI, par exemple, a corrigé son offre cloud dès cette date, mais renvoie les installations hébergées par les clients vers une mise à jour de PHP qu'eux seuls peuvent lancer.

Le silence n'est pas neutre

Entre l'alerte et l'application du correctif, il y a un délai. Dans ce délai, l'entreprise tourne sans la protection qui existe déjà. Ce n'est pas une zone grise technique en attente de traitement : c'est un arbitrage, même implicite, entre le coût d'une interruption et le risque d'une intrusion. Un dirigeant qui ne tranche pas cet arbitrage le tranche quand même, par défaut, dans le sens de l'inaction.

La réponse « notre prestataire s'en occupe » n'est pas une décision, c'est l'absence de décision déguisée en délégation. Le CEO doit savoir précisément qui administre PHP sur chaque service exposé, quelle version tourne aujourd'hui, et à quelle date la correction a été vérifiée, pas seulement appliquée.

Chiffrer le jour qui passe, pas seulement le correctif

Un correctif coûte peu. Ce qui coûte, c'est le jour supplémentaire d'exposition pendant qu'on hésite à fermer une boutique en ligne ou un espace client. Trois éléments permettent de chiffrer ce jour plutôt que de le subir :

• le trafic ou les commandes perdues si le service est suspendu une heure, pas un mois
• le nombre de services encore non vérifiés après l'inventaire du jour un
• le coût d'un prestataire mobilisé en urgence contre celui d'une correction planifiée

Ce calcul doit remonter au comité de direction, pas rester dans un ticket informatique. Reporter la correction d'un jour peut être la bonne décision si elle est documentée et bornée. Reporter sans la nommer comme telle, c'est accepter un risque sans en avoir mesuré le prix.

Cette logique d'arbitrage assumé plutôt que subi traverse plus largement la conduite d'une PME exposée au numérique. Nous la détaillons dans notre article pilier Automatisation IA en PME : par où commencer, ce que ça coûte, et pourquoi la plupart des projets n'arrivent jamais en production.