PHP corrige deux failles critiques notées 9,2 permettant l’exécution de code à distance
Arkadiy Andrienko
PHP a publié des mises à jour de sécurité le 21 octobre 2026, après avoir découvert deux vulnérabilités CVE-2026 affectant les installations exposées sur le Web et ayant obtenu un score CVSS 4.0 de 9,2. L’équipe de sécurité de PHP a exhorté les utilisateurs à installer immédiatement les correctifs. Les vulnérabilités sont répertoriées sous les références CVE-2026-109618 et CVE-2026-109619. La première concerne une corruption lors de la gestion d’un manque de mémoire : lorsque PHP efface une requête, il peut accéder à des données invalides, ce qui pourrait permettre à un attaquant d’exécuter du code à distance.
CVE-2026-109619 concerne un état global obsolète susceptible de pointer vers la mémoire d’une requête déjà libérée. Une requête ultérieure peut accéder à cette mémoire avant que le programme ait entièrement initialisé son état, ce qui présente également un risque d’exécution de code à distance. Selon l’avis de sécurité, les configurations concernées incluent PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.
Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet PHP, bien que certaines distributions et certains fournisseurs de support à long terme puissent proposer des correctifs rétroportés. Ces vulnérabilités ont également attiré l’attention à la suite de signalements de premières attaques.
Le directeur technique de Cloudflare, Dane Knecht, a déclaré que l’entreprise mettait à jour ses mesures d’atténuation temporaires à mesure que de nouveaux vecteurs d’attaque apparaissaient, mais a averti que ces mesures ne remplacent pas l’installation des mises à jour de PHP.
Nous constatons l’apparition des premières attaques et mettons à jour nos mesures d’atténuation à mesure que de nouveaux vecteurs émergent. Il ne s’agit que d’une solution provisoire.
Alors que des attaques ont été signalées et que les mesures de pare-feu sont présentées comme temporaires, dans quel délai les propriétaires de sites Web devraient-ils installer les correctifs PHP ?