Vulnérabilités critiques dans PHP : la CNPD appelle à une vigilance renforcée et à des actions correctives

22/10/2026

La Commission nationale pour la protection des données (CNPD) attire l'attention des responsables du traitement et des sous-traitants sur deux vulnérabilités critiques affectant l'environnement d'exécution PHP, identifiées sous les références CVE-2026-109618 et CVE-2026-109619.

Ces vulnérabilités peuvent permettre à des personnes malveillantes d'exécuter à distance des commandes sur les systèmes concernés, sans authentification préalable. Les systèmes utilisant une version vulnérable de PHP, qui n'a pas été mise à jour et qui sont accessibles depuis Internet, sont particulièrement exposés. Leur exploitation est susceptible de compromettre la sécurité des systèmes informatiques et, notamment, la confidentialité, l'intégrité et la disponibilité des données à caractère personnel qui y sont traitées.

Des correctifs de sécurité sont disponibles depuis le 21 octobre 2026 pour les versions PHP 8.2, 8.3, 8.4 et 8.5. Les versions corrigées sont respectivement PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Les organismes et les personnes utilisant PHP sont invités à vérifier sans délai leur exposition à ces vulnérabilités et à procéder aux mises à jour de sécurité nécessaires, en tenant compte, le cas échéant, des correctifs fournis par leurs éditeurs ou fournisseurs de services.

Mesures de sécurité recommandées

La CNPD rappelle que, conformément à l'article 32 du Règlement général sur la protection des données (RGPD), les responsables du traitement et les sous-traitants sont tenus de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques présentés par les traitements de données personnelles.

Dans ce contexte, la CNPD encourage les organismes concernés à :

• Identifier les systèmes et applications utilisant PHP, notamment ceux accessibles depuis Internet ;
• Vérifier les versions installées et appliquer sans délai les correctifs de sécurité appropriés, en tenant compte des recommandations des éditeurs et fournisseurs concernés ;
• Se rapprocher de leurs prestataires informatiques et sous-traitants, notamment des fournisseurs d'hébergement, afin de s'assurer que les mesures de sécurité nécessaires ont été mises en œuvre ;
• Renforcer la surveillance des systèmes potentiellement exposés afin de détecter d'éventuels signes de compromission ;
• Évaluer les conséquences d'un éventuel incident de sécurité sur les données à caractère personnel, ainsi que les risques susceptibles d'en résulter pour les droits et libertés des personnes concernées.

La CNPD invite également les organismes concernés à consulter les recommandations techniques publiées par le Computer Incident Response Center Luxembourg (CIRCL), qui préconise une mise à jour immédiate des environnements PHP concernés.

Obligations en cas de violation de données à caractère personnel

La CNPD rappelle que l'existence d'une vulnérabilité informatique ne constitue pas, à elle seule, une violation de données à caractère personnel au sens du RGPD.

Toutefois, lorsqu'un incident de sécurité entraîne notamment un accès non autorisé à des données personnelles, leur divulgation, leur altération, leur perte ou leur destruction, les responsables du traitement doivent examiner leurs obligations au regard des articles 33 et 34 du RGPD.

Conformément à l'article 33 du RGPD, toute violation de données à caractère personnel doit être notifiée à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après que le responsable du traitement en a pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, celles-ci doivent également en être informées dans les meilleurs délais, sous réserve des exceptions prévues à l'article 34 du RGPD.

La CNPD encourage les organismes à faire preuve d'une vigilance particulière et à documenter les incidents de sécurité affectant des données personnelles, conformément aux exigences du RGPD.

Informations complémentaires

Pour davantage d'informations sur ces vulnérabilités et les mesures techniques recommandées, les organismes concernés sont invités à consulter les communications officielles suivantes :

• CIRCL - Rapport TR-102 : https://new.circl.lu/pub/tr-102/
• PHP - Avis de sécurité du 21 octobre 2026 : https://www.php.net/archive/2026.php#2026-10-21-5

Pour toute information concernant les obligations en matière de sécurité des traitements et de notification des violations de données à caractère personnel, les organismes peuvent consulter le site Internet de la CNPD : https://cnpd.public.lu.