L’équipe PHP a annoncé une mise à jour de sécurité urgente après la fuite de deux vulnérabilités critiques. Les correctifs ont été publiés ce 21 octobre.

Ces failles, CVE-2026-109618 et CVE-2026-109619, permettent une exécution de code à distance (RCE) sans authentification.

Elles concernent tout serveur PHP exposant des requêtes web : PHP-FPM, mod_php, php-cgi, FrankenPHP ou LiteSpeed. Un attaquant peut alors prendre le contrôle du serveur et accéder aux données.

Vous êtes concerné si vous utilisez :
– PHP 8.5 inférieur à 8.5.12
– PHP 8.4 inférieur à 8.4.27
– PHP 8.3 inférieur à 8.3.36
– PHP 8.2 inférieur à 8.2.35
– PHP 8.1 ou antérieur, sans correctif officiel

Agissez dès aujourd’hui :
✅ Inventoriez tous vos serveurs et conteneurs PHP, y compris les instances oubliées.
✅ Mettez à jour vers une version corrigée, puis redémarrez PHP-FPM ou le serveur web.
✅ Si la mise à jour est impossible immédiatement, atténuez le risque et planifiez la migration des branches en fin de vie.

Lien vers la publication officielle php : https://www.php.net/

Notre pôle cyber « Resilience » est à votre disposition pour toute question !