Résumé :
L'équipe de développement PHP a officiellement publié une mise à jour de sécurité d'urgence le 21 octobre 2026 pour corriger deux failles de sécurité graves. Ces deux vulnérabilités sont respectivement numérotées CVE-2026-109618 et CVE-2026-109619. Les deux sont considérés comme graves et peuvent permettre aux attaquants d'exécuter du code à distance sans se connecter. Les responsables recommandent fortement à tous les utilisateurs de PHP de mettre immédiatement à niveau vers la version réparée pour éviter les attaques de serveur.
Les versions corrigées publiées cette fois incluent PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les responsables ont souligné que la vulnérabilité affecte les environnements de déploiement PHP qui traitent les requêtes via le réseau, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. L'équipe PHP a spécifiquement souligné que les risques environnementaux liés à l'utilisation d'Apache mod_php sont particulièrement préoccupants, car il a été démontré que les attaquants peuvent déclencher des attaques avant que le code de l'application ne commence à s'exécuter.
La première vulnérabilité, CVE-2026-109618, est liée au mécanisme de gestion de l'épuisement de la mémoire. Lorsque PHP rencontre une mémoire insuffisante, le programme peut interrompre le flux de traitement lorsque les données de la requête interne n'ont pas été complètement initialisées, puis utiliser ces données invalides comme données valides lors du nettoyage des ressources. Cet état anormal peut entraîner une corruption de la mémoire et peut être exploité davantage dans certaines conditions, permettant finalement l'exécution de code à distance.
La deuxième vulnérabilité, CVE-2026-109619, implique une mémoire libérée et un état interne expiré. Certains états internes appartenant à la requête en cours peuvent encore subsister après la libération de la mémoire correspondante. Les requêtes ultérieures traitées par le même processus de travail peuvent utiliser des données obsolètes avant que l'initialisation normale ne réinitialise ces états, provoquant des problèmes de sécurité. Les deux vulnérabilités peuvent permettre aux attaquants de franchir les limites d'exécution initiales du programme.
Le score CVSS v4.0 des deux vulnérabilités est de 9,2, ce qui est un niveau sérieux. Le danger est qu'un attaquant n'a pas besoin d'un compte, d'un mot de passe ou d'autres informations d'authentification valides pour déclencher la vulnérabilité en élaborant des requêtes réseau spécifiques. Si l'attaque réussit, l'attaquant peut exécuter des commandes malveillantes, voler des données, installer des programmes malveillants ou utiliser les privilèges du serveur pour continuer à étendre la portée de l'intrusion.
PHP est l'un des langages de programmation côté serveur les plus courants dans les applications Internet et est largement utilisé pour la génération de pages Web dynamiques, l'interaction avec des bases de données et le traitement métier en arrière-plan. Les systèmes de gestion de contenu tels que WordPress s'appuient également sur PHP pour fonctionner, cette vulnérabilité n'affecte donc pas seulement une certaine plate-forme de site Web, mais implique également l'environnement d'exploitation sous-jacent. Même si un site Web a mis à jour le programme principal et les plugins WordPress, le site Web peut continuer à être à risque tant que la version PHP sur le serveur est toujours vulnérable. Les responsables de WordPress ont également clairement indiqué que ce problème n’avait pas besoin d’être résolu en publiant une mise à jour principale de WordPress. Les propriétaires de sites Web doivent vérifier et mettre à jour l’environnement PHP en cours d’exécution.
Pour les sites Web utilisant des branches prises en charge de PHP 8.2 et versions ultérieures, les administrateurs doivent installer la version de réparation correspondante dès que possible. Les utilisateurs qui utilisent encore PHP 8.1 et les versions antérieures doivent faire particulièrement attention : ces versions ne reçoivent plus les mises à jour de sécurité directement fournies par le projet PHP. Cependant, certaines distributions Linux, fournisseurs de support à long terme ou autres fournisseurs peuvent fournir des correctifs de restauration, et les utilisateurs concernés doivent confirmer auprès de leurs fournisseurs de logiciels s'il existe un correctif.
Les agences de sécurité ont déjà averti que si le site Web ne parvenait pas à corriger la vulnérabilité à temps, il devrait envisager de restreindre temporairement l'accès externe et de mettre le système hors ligne si nécessaire. La révélation de cette vulnérabilité a également déclenché des réponses d’urgence dans de nombreux pays et régions. Certaines agences gouvernementales européennes ont pris l'initiative de fermer des sites Web avant la publication du correctif afin de réduire les risques potentiels. Reuters rapporte que certaines agences gouvernementales aux Pays-Bas et en Finlande ont pris des mesures préventives, reflétant la pression réelle que cet incident de sécurité a exercée sur les services des réseaux publics.
La publication officielle d'urgence des correctifs par PHP signifie que les problèmes de sécurité qui étaient auparavant au stade d'avertissement sont entrés dans la phase de réparation proprement dite. Pour les opérateurs de sites Web, la tâche la plus importante à l'heure actuelle est de confirmer la version de PHP que le serveur exécute réellement, de vérifier si le fournisseur d'hébergement a déployé des mises à jour et de rechercher dans le système des processus anormaux, des modifications de fichiers non autorisées ou des connexions réseau suspectes.
La sécurité du site Web dépend non seulement de l'application elle-même, mais également de la maintenance en temps opportun de l'environnement d'exploitation sous-jacent. Étant donné que PHP est largement déployé sur divers sites Web et serveurs, l'installation en temps opportun des versions de réparation officielles est une mesure clé pour réduire le risque de ces deux vulnérabilités graves.
En savoir plus :
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
Commentaires