Hier, PHP à fait une annonce sur des failles critiques trouvées dans plusieurs versions PHP : 8.2, 8.3, 8.4 et 8.5. Il est urgent d’installer les versions qui comblent ces failles et mettent votre/vos hébergement(s) en sécurité.
L’équipe PHP a publié aujourd’hui , le 21 octobre 2026 à 13h30 UTC, les correctifs pour les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ces deux vulnérabilités permettent l’exécution de code à distance sans authentification. Les détails techniques sont actuellement discutés publiquement et les premières preuves de concept (PoC) commencent à circuler. Cela accroît la probabilité que des attaquants exploitent déjà ces vulnérabilités.
Les détails techniques
La vulnérabilité CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), avec un score CVSS de 9,2, permet l’exécution de code à distance par corruption de mémoire lors de la gestion des erreurs de mémoire insuffisante (OOM). PHP applique ses paramètres configurables par l’utilisateur. memory_limiten utilisant longjmp().
Toute requête dépassant la limite est annulée, ce qui provoque une erreur de mémoire insuffisante (OOM). Cela peut interrompre PHP pendant que les données internes de la requête ne sont que partiellement initialisées, par exemple lors de l’analyse d’un formulaire de téléchargement de fichier. Le nettoyage de la requête peut alors traiter les données invalides comme valides et tenter de libérer de la mémoire jamais initialisée. Cette mémoire peut encore contenir des données d’allocations antérieures contrôlées par l’attaquant.
La vulnérabilité CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), avec un score CVSS de 9,2, permet l’exécution de code à distance via un état global obsolète. L’état interne d’une requête peut persister après la libération de sa mémoire sous-jacente, par exemple suite à une erreur fatale. Une requête ultérieure traitée par le même processus peut alors utiliser cet état obsolète avant que l’initialisation normale ne le réinitialise.
Toute installation PHP traitant des requêtes web est à risque, y compris PHP-FPM et Apache. mod_php, php-cgi, FrankenPHP et LiteSpeed. L’équipe PHP considère mod_phpla configuration à risque le plus élevé. Une exploitation démontrée montre qu’une seule requête non authentifiée peut déclencher l’attaque avant même l’exécution du code de l’application.
Produits concernés
- Versions de PHP 8.5 antérieures à la version 8.5.12
- Versions de PHP 8.4 antérieures à la version 8.4.27
- Versions de PHP 8.3 antérieures à la version 8.3.36
- Versions de PHP 8.2 antérieures à la version 8.2.35
- Les branches en fin de vie (PHP 8.1 et versions antérieures), qui ne reçoivent plus de mises à jour du projet PHP
De nombreux produits commerciaux et open source utilisent PHP comme technologie backend ; ils pourraient également être affectés, même s’ils n’exposent pas directement d’installation PHP. Le CERT-EU recommande de consulter le dépôt GitHub du NCSC-NL pour identifier les logiciels tiers intégrant PHP et susceptibles d’être affectés par ces vulnérabilités.
Source : php.net, cert.europa.eu.
