Objet : [Màj] Multiples vulnérabilités dans PHP
Une gestion de version détaillée se trouve à la fin de ce document.
[Mise à jours du 21 octobre 2026] Les correctifs de sécurité sont disponibles sur le site de l'éditeur. PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
[Publication Initiale] Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC). Pour les versions de PHP 5.x, 6.x, 7.x, 8.0.x et 8.1.x , dont l'éditeur n'assure plus le support.
Le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur.
Ces contournements provisoires ne sont pas qualifiés par le CERT-FR :
Si le processus PHP-FPM s'exécute, il sera aussi nécessaire de modifier la variable php_admin_flag comme suit :
La conséquence sera la désactivation de la fonctionnalité PHP upload-progress. Il est à noter que cette mesure d'atténuation ne réduit la surface d'attaque que contre l'une des deux vulnérabilités.
Ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall).
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Avis CERT-FR CERTFR-2026-AVI-1359 du 21 octobre 2026
Fiche réflexe : Compromission d'un équipement de bordure réseau – Endiguement
