Faille critique dans PHP : ce que nous avons fait pour protéger téo
Début de semaine, deux failles critiques ont été révélées dans PHP, le langage sur lequel reposent de très nombreux services web, dont téo. Nous les avons traitées dès les premières alertes. Voici, en toute transparence, ce qui s'est passé et ce que nous avons fait : vous n'avez aucune action à effectuer.
En une phrase
Nous avons appliqué des mesures de protection dès les alertes, installé le correctif officiel de PHP dans la nuit du 21 au 22 octobre, puis vérifié nos journaux : nous n'avons identifié aucune tentative d'exploitation.
Ce qui s'est passé
Les failles, référencées CVE-2026-109618 et CVE-2026-109619, touchent le moteur PHP lui-même. Elles ont été classées critiques par les chercheurs qui les ont publiées, et ont été largement relayées, y compris dans la presse généraliste.
En pratique, ces failles concernent la manière dont PHP gère sa mémoire lorsqu'il traite certaines requêtes, notamment l'envoi de fichiers ou de gros formulaires. Dans le pire des cas, une requête spécialement construite par une personne malveillante pourrait perturber le fonctionnement du serveur. Le sujet concerne des milliers de sites et d'applications à travers le monde : il ne vise pas téo en particulier.
Il s'agit d'une faille dans un composant utilisé partout sur Internet. Aucune action n'est demandée à vos équipes ni à vos utilisateurs : votre mot de passe, vos accès et vos données n'ont pas à être modifiés.
Comment nous l'avons gérée
1. Des mesures de protection immédiates
Dès réception des alertes, et sans attendre le correctif officiel, nous avons durci la configuration de nos serveurs pour réduire les possibilités d'exploitation :
- Désactivation de la fonction de suivi de progression des envois de fichiers, qui faisait partie des chemins d'attaque décrits.
- Limitation de la profondeur des données acceptées dans une requête.
- Plafonnement de la taille maximale d'une requête acceptée par le serveur.
Ces réglages n'ont aucun effet visible dans votre utilisation quotidienne de téo : les envois de documents, de pièces jointes et d'images continuent de fonctionner normalement.
2. Le correctif officiel, installé dès sa disponibilité
Les versions corrigées de PHP ont été publiées le 21 octobre. Nous les avons intégrées à nos environnements, testées par notre chaîne de contrôle automatique, puis déployées en production dans la nuit du 21 au 22 octobre, pour téo comme pour l'ensemble de nos services associés.
Nous avons ensuite vérifié sur les serveurs en production que la version corrigée était bien celle qui tournait, et pas seulement celle qui avait été préparée.
3. Un audit de nos journaux
En parallèle, nous avons passé en revue nos journaux de serveurs sur la période précédant et suivant la publication des alertes, à la recherche de signes d'exploitation : requêtes anormalement volumineuses, erreurs de mémoire inhabituelles, comportements suspects sur les envois de fichiers.
Nous n'avons identifié aucune tentative d'exploitation.
4. Des garde-fous pour la suite
Pour que ces protections ne disparaissent pas lors d'une évolution future, nous avons ajouté des tests automatiques qui vérifient en continu que les réglages de sécurité sont toujours en place. Si l'un d'eux était retiré par erreur, notre chaîne de contrôle le signalerait avant toute mise en production.
Chronologie
| Étape | Quand |
|---|---|
| Révélation des failles et premières alertes | Début de semaine (20 octobre) |
| Mesures d'atténuation mises en place | Dès réception des alertes |
| Publication des versions corrigées de PHP | 21 octobre |
| Correctif déployé en production | Nuit du 21 au 22 octobre |
| Audit des journaux : aucune tentative d'exploitation identifiée | 22 octobre |
Ce que vous avez à faire
Rien. Aucune mise à jour à installer de votre côté, aucun mot de passe à changer, aucune interruption de service n'a été nécessaire.
Votre téomaster est votre premier interlocuteur. Vous pouvez aussi écrire à l'assistance téo : nous répondons volontiers à toute question sur la sécurité de vos données, y compris dans le cadre de vos propres audits ou de vos échanges avec vos financeurs.
En résumé
- Deux failles critiques ont été révélées dans PHP (CVE-2026-109618 et CVE-2026-109619).
- Des mesures d'atténuation ont été appliquées dès les alertes.
- Le correctif officiel a été déployé en production dès sa mise à disposition, dans la nuit du 21 au 22 octobre.
- Nos journaux ont été audités : aucune tentative d'exploitation identifiée.
- Aucune action n'est requise de votre part.
Pour aller plus loin
Une question ? Contactez votre téomaster ou écrivez-nous via l'assistance téo. Merci de votre confiance 🔐