Failles PHP du 21 octobre : ce qu'un site YACS doit vérifier

Ce qui s'est passé

Le 21 octobre 2026 vers 16 heures, le projet PHP a publié des correctifs pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619. YACS est écrit en PHP : il n'est pas visé en tant que tel, mais il tourne sur le moteur concerné, comme tout site PHP. Le correctif n'est donc pas dans YACS. Il est dans la version de PHP installée par votre hébergeur.

Première vérification : le correctif est-il installé ?

Sur un hébergement mutualisé, c'est l'hébergeur qui met à jour PHP. Ne vous fiez pas au seul numéro de version affiché dans le panneau d'administration : sur certains serveurs, le numéro reste le même après l'application d'un correctif de sécurité. Demandez la date d'installation du correctif ou la date de compilation du binaire. Ce soir-là, j'ai fermé les sites concernés par un blocage au niveau du serveur dans l'attente de cette confirmation, et rouvert le lendemain matin une fois reçue la réponse écrite des hébergeurs.

Deuxième vérification : ce que votre installation expose

En contrôlant les sites, j'ai constaté qu'un dossier de travail de YACS peut rendre ses journaux lisibles depuis l'extérieur. Le dossier temporary/ contient des fichiers de journal, log.txt et debug.txt, qui peuvent mentionner des chemins de fichiers, des adresses IP ou des messages d'erreur. Rien de dramatique en soi, mais autant ne pas offrir ces informations à qui cherche à préparer une attaque. Un correctif a été proposé au dépôt du cœur de YACS (demande de fusion n°105). En attendant sa diffusion, vous pouvez vérifier en tapant l'adresse de ces fichiers dans un navigateur : si le contenu s'affiche, demandez à votre hébergeur ou à votre webmestre d'en interdire l'accès par la configuration du serveur.

Troisième réflexe : garder le cœur à jour

Un cœur YACS ancien cumule les petits défauts : pages qui répondent par une erreur, correctifs manqués. La mise à jour d'un site YACS passe par une sauvegarde complète des fichiers et de la base, puis un essai sur une copie. Prévoyez-la avant la prochaine alerte plutôt que pendant.

Ce que ce contrôle ne dit pas

Un contrôle des fichiers ne détecte pas une compromission de la base de données, par exemple un compte ajouté avec des droits d'associé. Sur YACS, la liste des utilisateurs de statut associé se consulte dans l'administration. Elle doit ne comporter que des personnes que vous connaissez.

Sources : php.net