Objet : [Màj] Multiples vulnérabilités dans PHP
Une gestion de version détaillée se trouve à la fin de ce document.
[Mise à jour du 26 octobre 2026] Le 23 octobre 2026, PHP a publié un avis de sécurité concernant la vulnérabilité CVE-2026-115560. Celle-ci permet une exécution de code arbitraire à distance. L'éditeur estime que les conditions d'exploitation exigent une combinaison d'options de configuration et de code applicatif peu probable. Un correctif sera donc publié à l'occasion du prochain cycle de mises à jour.
Le CERT-FR constate des tentatives d'exploitation des vulnérabilités CVE-2026-109618 et CVE-2026-109619 ciblant des déploiements spécifiques de PHP.
De plus, le CERT-FR incite à la vigilance et rappelle que le langage PHP est utilisé dans de nombreux produits, il est donc important d'appliquer les correctifs dès que ceux-ci seront disponibles.
[Mise à jour du 22 octobre 2026] Le CERT-FR a connaissance de preuves de concept pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 pour des déploiements spécifiques de PHP.
[Mise à jour du 21 octobre 2026] Les correctifs de sécurité sont disponibles sur le site de l'éditeur. PHP indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
[Publication Initiale] Le 20 octobre 2026, PHP a publié une communication concernant deux vulnérabilités critiques. L'éditeur annonce la disponibilité des correctifs de sécurité pour le 21 octobre 2026 à 16h00 heure de Paris (14h00 UTC). L'éditeur n'assure plus le support des versions de PHP 5.x, 7.x, 8.0.x et 8.1.x [1].
Le CERT-FR recommande d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur.
Ces contournements provisoires ne sont pas qualifiés par le CERT-FR :
Si le processus PHP-FPM s'exécute, il sera aussi nécessaire de modifier la variable php_admin_flag comme suit :
La conséquence sera la désactivation de la fonctionnalité PHP upload-progress. Cette mesure d'atténuation ne réduit la surface d'attaque que pour la vulnérabilité CVE-2026-109619 [2].
Ces mesures peuvent être réalisées au niveau d'un pare-feu applicatif (Web Application Firewall).
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Bulletin de sécurité PHP CVE-2026-115560 du 23 octobre 2026
[2] Bulletin de sécurité PHP GHSA-6wmf-4rv5-p3rp
Avis CERT-FR CERTFR-2026-AVI-1359 du 21 octobre 2026
Dépôt GitHub php2shell du NCSC-NL du 21 octobre 2026
Fiche réflexe : Compromission d'un équipement de bordure réseau – Endiguement
