[Màj] Multiples vulnérabilités dans PHP (21 octobre 2026)
ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 21 octobre 2026.
L'essentiel
- [Mise à jour du 26 octobre 2026] Le 23 octobre 2026, PHP a publié un avis de sécurité concernant la vulnérabilité CVE-2026-115560.
- L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC).
Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (ANSSI, Licence Ouverte / Etalab 2.0).
Texte officiel intégral
Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
[Mise à jour du 26 octobre 2026] Le 23 octobre 2026, PHP a publié un avis de sécurité concernant la vulnérabilité CVE-2026-115560. Celle-ci permet une exécution de code arbitraire à distance. L'éditeur estime que les conditions d'exploitation exigent une combinaison d'options de configuration et de code applicatif peu probable. Un correctif sera donc publié à l'occasion du prochain cycle de mises à jour.
Le CERT-FR constate des tentatives d'exploitation des vulnérabilités CVE-2026-109618 et CVE-2026-109619 ciblant des déploiements spécifiques de PHP.
De plus, le CERT-FR incite à la vigilance et rappelle que le langage PHP est utilisé dans de nombreux produits, il est donc important d'appliquer les correctifs dès que ceux-ci seront disponibles. En effet, de nombreux produits sont potentiellement impactés par cette vulnérabilité. On trouvera une liste non exhaustive de cette dernière fournie par le NCSC-NL ( php2shell/software/changelog_software_list.md at main · NCSC-NL/php2shell · GitHub )
[Mise à jour du 22 octobre 2026] Le CERT-FR a connaissance de preuves de concept pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 pour des déploiements spécifiques de PHP.
[Mise à jour du 21 octobre 2026] Les correctifs de sécurité sont disponibles sur le site de l'éditeur. PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
[Publication Initiale] Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC). L'éditeur n'assure plus le support des versions de PHP 5.x, 7.x, 8.0.x et 8.1.x [1].
Le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur.
Contournements provisoires
Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation des vulnérabilités correspondantes.
PHP a publié des mesures de contournements provisoires pour réduire la surface d'attaque des vulnérabilités CVE-2026-109618 et CVE-2026-109619. L'éditeur recommande pour la vulnérabilité CVE-2026-109618 :
L'éditeur recommande pour la vulnérabilité CVE-2026-109619 :
- initialiser session.upload_progress.enabled=0 et redémarrer chaque processus d'arrière-plan ( worker ) ;
- si PHP est en version 8.5.x, initialiser fatal_error_backtraces=0 et redémarrer chaque processus d'arrière-plan ;
- supprimer les configurations incorrectes ou obsolètes qui sont appliquées à chaque requête et qui génèrent des messages de diagnostic avant l'initialisation ;
- corriger les erreurs fatales et les délais d'exécution dépassés accessibles aux attaquants.
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Communication de PHP du 20 octobre 2026 https://www.php.net/archive/2026.php#2026-10-20-1
- Bulletin de sécurité PHP du 21 octobre 2026 https://www.php.net/index.php#2026-10-21-2
- Bulletin de sécurité PHP du 21 octobre 2026 https://www.php.net/index.php#2026-10-21-3
- Bulletin de sécurité PHP du 21 octobre 2026 https://www.php.net/index.php#2026-10-21-1
- Bulletin de sécurité PHP du 21 octobre 2026 https://www.php.net/index.php#2026-10-21-4
- Bulletin de sécurité PHP sur les contournements provisoires additionnels du 21 octobre 2026 https://www.php.net/archive/2026.php#2026-10-21-5
- Bulletin de sécurité PHP CVE-2026-115560 du 23 octobre 2026 https://www.php.net/archive/2026.php#2026-10-23-1
- [2] Bulletin de sécurité PHP GHSA-6wmf-4rv5-p3rp https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- Avis CERT-FR CERTFR-2026-AVI-1359 du 21 octobre 2026 /avis/CERTFR-2026-AVI-1359/
- Dépôt GitHub php2shell du NCSC-NL du 21 octobre 2026 https://github.com/NCSC-NL/php2shell
- Fiche réflexe : Compromission d'un équipement de bordure réseau - Endiguement https://cert.cyber.gouv.fr/fiche/CERTFR-2025-RFX-002/
Fin du texte officiel repris
Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
- [Màj] Multiples vulnérabilités dans PHP (21 octobre 2026)
- Multiples vulnérabilités dans les produits Papercut (23 octobre 2026)
- Multiples vulnérabilités dans les produits IBM (23 octobre 2026)
- Multiples vulnérabilités dans les produits SUSE (23 octobre 2026)
- Multiples vulnérabilités dans le noyau Linux d'Ubuntu (23 octobre 2026)
- Multiples vulnérabilités dans le noyau Linux de Debian (23 octobre 2026)
- Multiples vulnérabilités dans les produits Tenable (23 octobre 2026)
- Multiples vulnérabilités dans Microsoft Edge (23 octobre 2026)
- Multiples vulnérabilités dans les produits Red Hat (23 octobre 2026)
- Multiples vulnérabilités dans CPython (26 octobre 2026)
- Multiples vulnérabilités dans les produits MongoDB (26 octobre 2026)
- Multiples vulnérabilités dans les produits VMware (26 octobre 2026)
- Multiples vulnérabilités dans Microsoft .Net (26 octobre 2026)
- Multiples vulnérabilités dans Mozilla Firefox (27 octobre 2026)
- Multiples vulnérabilités dans Tenable Network Monitor (27 octobre 2026)
- Multiples vulnérabilités dans les produits Apple (27 octobre 2026)
- Multiples vulnérabilités dans les produits Moxa (27 octobre 2026)
- Multiples vulnérabilités dans les produits Nextcloud (27 octobre 2026)
- Multiples vulnérabilités dans GLPI (27 octobre 2026)
- Multiples vulnérabilités dans Microsoft Edge (27 octobre 2026)
Sujets liés
Quand les sources ont-elles publié ?
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.