Faille PHP d'octobre 2026 : mettez à jour OpenLMNP

Le 21 octobre 2026, l'équipe de PHP a publié un correctif pour deux failles PHP critiques, CVE-2026-109618 et CVE-2026-109619. Elles permettent, sans aucun identifiant, d'exécuter du code sur le serveur. Le CERT-FR et Cybermalveillance.gouv.fr ont relayé l'alerte le lendemain.

OpenLMNP est écrit en PHP, il est donc concerné. La version 1.6.11, publiée le 23 octobre 2026, embarque PHP 8.4.27, qui corrige ces deux failles. Voici ce qu'il faut faire selon votre façon d'utiliser le logiciel.

Ce que permettent ces failles PHP

D'après le bulletin de sécurité de PHP, toute installation PHP qui répond à des requêtes web est exposée : serveur intégré, PHP-FPM, Apache avec mod_php, FrankenPHP... Une requête bien construite peut suffire à prendre la main sur le serveur, avant même que l'application ne s'exécute.

PHP précise qu'il n'existe pas de contournement complet : la mise à jour est la seule protection. Les versions corrigées sont les suivantes.

Source : bulletin de PHP du 21 octobre 2026.

Que faire selon votre installation

Avec l'image Docker

L'image 1.6.10 et les précédentes embarquent PHP 8.4.24, qui est vulnérable. Récupérez la nouvelle image, puis recréez le conteneur avec la même commande docker run qu'à l'installation :

docker pull manganate06/openlmnp:latest
docker rm -f openlmnp
# relancez votre commande docker run habituelle, avec les mêmes volumes

Vos données vivent dans les volumes database et storage : elles ne sont pas touchées par la recréation du conteneur. Pour vérifier la version de PHP une fois le conteneur relancé :

docker exec openlmnp php -v

La première ligne doit indiquer PHP 8.4.27 ou plus récent. L'image refuse désormais de se construire avec un PHP plus ancien.

Avec le script d'installation Proxmox

Relancez la mise à jour du conteneur comme d'habitude. Depuis la 1.6.11, elle met aussi à niveau les paquets PHP du système, ce qu'elle ne faisait pas jusqu'ici. Vous pouvez aussi le faire tout de suite, sans attendre :

apt update && apt upgrade -y
systemctl restart php8.4-fpm
php -v

Avec une installation manuelle

C'est le PHP de votre serveur qu'il faut mettre à jour, par son gestionnaire de paquets habituel. Mettre à jour OpenLMNP seul ne suffit pas : son code ne change pas, c'est PHP qui porte le correctif. Visez 8.4.27, ou 8.3.36 si vous êtes resté sur la branche 8.3.

Les prochains avis, directement dans l'application

Une instance auto-hébergée n'apprenait jusqu'ici une faille qu'en allant voir la page Mises à jour, ou en lisant ce blog. Depuis la 1.6.11, le contrôle quotidien de télémétrie anonyme rapporte aussi les avis de sécurité qui concernent votre version : un bandeau s'affiche alors en haut de l'application, pour l'administrateur seulement, et disparaît une fois la mise à jour faite. Rien de plus n'est envoyé par votre instance. Si vous avez désactivé la télémétrie (TELEMETRY_ENABLED=false), vous ne recevrez pas ces avis : surveillez alors les publications du dépôt GitHub.

En attendant la mise à jour

Si vous ne pouvez pas mettre à jour tout de suite et que votre instance est accessible depuis Internet, limitez son accès : réseau local seulement, VPN, ou authentification devant le reverse proxy. C'est la seule précaution qui réduit l'exposition, sans la supprimer.

Une question sur votre installation ?

Écrivez-nous à support@openlmnp.fr en indiquant comment vous avez installé OpenLMNP : nous vous donnerons la marche exacte. Le détail technique de la version figure dans le journal des modifications.